CVE-2026-80353 Condición de carrera TOCTOU al crear sockets de dominio Unix en el conector APR/Native de Apache Tomcat

Qué es CVE-2026-80353

Vulnerabilidad de condición de carrera time-of-check time-of-use (TOCTOU) en Apache Tomcat al crear sockets de dominio Unix para el conector APR/Native, que permite a un usuario local no autorizado acceder al socket de dominio Unix. La corrección de CVE-2026-65183 solo abordó el conector NIO. Afecta a Apache Tomcat desde 9.0.47 hasta 9.0.122. Se recomienda actualizar a 9.0.123.

Productos y versiones afectadas

• Apache Software Foundation Apache Tomcat

  • desde 9.0.47 hasta 9.0.122

Qué hacer

1. Verificá si usás Apache Tomcat y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

Esta vulnerabilidad todavía no tiene vector CVSS publicado.

Abrir la calculadora completa →

Descripción original

Time-of-check time-of-use (TOCTOU) race condition vulnerability in Apache Tomcat when creating unix domain sockets for the APR/Native connector allows an unauthorised local user to access the unix domain socket. The fix for CVE-2026-65183 only addressed the NIO connector. It did not address the same issue in the APR/Native connector. This issue affects Apache Tomcat: from 9.0.47 through 9.0.122. Users are recommended to upgrade to version 9.0.123, which fixes the issue.

Referencias

• lists.apache.org/thread.html/tr0q87qwvs80p9hc53tkwpzvnx0ywftrVENDOR-ADVISORY

Historial de la alerta

1. 20 OCT · 12:00VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.