CVE-2026-53434 (CVSS 9.1) - Detection of Error Condition Without Action vulnerability in Apache Tomcat when
CVE-2026-53434是Apache Tomcat中一个严重的TLS客户端证书验证绕过漏洞，CVSS 9.1。影响Tomcat 9、10、11版本的FFM连接器CRL配置。当CRL处理出错时，Tomcat未采取拒绝动作，导致攻击者可使用已撤销的证书通过认证。升级到9.0.119、10.1.56或11.0.23可修复。
CVE-2026-53434 (CVSS 9.1) - Detection of Error Condition Without Action vulnerability in Apache Tomcat when
📋 漏洞概述
Apache Tomcat FFM连接器CRL配置时未正确处理错误条件，导致TLS客户端证书验证绕过。
📋 基础信息
| 受影响版本 | Apache Tomcat 11.0.0-M1 至 11.0.22, 10.1.0-M7 至 10.1.55, 9.0.83 至 9.0.118 |
| 漏洞类型 | 错误条件未处理（Error Condition Without Action） |
| CVSS | 9.1 · Critical |
| CVE | CVE-2026-53434 |
🔬 漏洞根因
在FFM（Foreign Function & Memory API）连接器配置CRL（证书撤销列表）时，如果CRL加载或处理过程中发生错误（例如文件格式不正确、CRL过期或无法访问），Tomcat未进行正确的错误处理或回退，导致证书验证状态停留在“未检查”或“视为有效”。攻击者可利用此缺陷绕过CRL检查，使用已被撤销的证书进行通信。
🎯 攻击场景
1. 攻击者获得一张已被CA撤销的合法TLS客户端证书； 2. Tomcat服务器配置了FFM连接器并启用CRL检查； 3. 攻击者向服务器发起TLS连接，使用该已撤销证书进行客户端认证； 4. CRL检查过程中发生一个可被利用的错误（例如CRL文件临时不可达但被静默忽略）； 5. 由于错误条件未被正确处理，服务器错误地认为证书有效，攻击者成功通过认证并获得授权访问。
💥 漏洞影响
TLS客户端证书验证绕过，已被撤销的证书仍被接受，可能导致未授权用户以已撤销证书对应的身份访问受保护资源，造成数据泄露或权限提升。CVSS 9.1表明远程可利用且影响机密性、完整性、可用性。
🛡️ 修复建议
升级至Apache Tomcat 11.0.23、10.1.56或9.0.119；临时缓解措施：在无法立即升级时，可临时禁用FFM连接器或改用JSSE连接器（BIO/NIO）进行CRL检查，并确保CRL文件稳定可访问。
📎 参考链接
- https://nvd.nist.gov/vuln/detail/CVE-2026-53434
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-53434
- 原始来源（NVD-Latest）
🚨 威胁评估
| 📈 EPSS 利用概率 | 低 (0.3%) (高于 20.3% 的漏洞) |
| 🚨 CISA KEV | 未被已知利用 |
| 🔧 公开 PoC | 暂无公开 PoC |
⚠️ 本文由漏洞情报系统自动生成，仅供安全研究与防御参考。生成时间: 2026-07-02 01:31 | 来源: NVD-Latest
🤖 常见问题解答（FAQ）
❓ 漏洞利用是否需要网络访问？
是，攻击者可远程发起TLS连接，无需本地访问，CVSS攻击向量为网络。
❓ CRL错误如何被触发？
推测：通过构造导致CRL解析失败的输入（如损坏CRL或网络超时），使Tomcat静默忽略错误。
❓ 升级后是否需要重新配置CRL？
通常不需要，但建议验证CRL配置路径和权限，确保修复后的错误处理逻辑正常工作。