Debian ha publicado una actualización de seguridad para Tomcat 10 que corrige 19 vulnerabilidades en su motor de servlets y JSP. El aviso describe posibles efectos como divulgación de información, contrabando de peticiones HTTP y denegación de servicio. Para Debian 13 «trixie», la versión corregida es 10.1.60-1~deb13u1.
Qué corrige el aviso
El aviso DSA-6623-1 de Debian, fechado el 13 de noviembre de 2026, enumera 19 identificadores CVE. El aviso resume los posibles impactos, pero no afirma que todos se produzcan en cualquier instalación: la exposición depende del fallo concreto y de las funciones y configuraciones utilizadas.
La lista de vulnerabilidades de Apache Tomcat 10 aporta detalles sobre los fallos. Entre los 19 incluidos por Debian hay problemas en restricciones de seguridad, autenticación, HTTP/2 y WebSocket; algunos requieren configuraciones o condiciones específicas. En este contexto, request smuggling describe fallos de interpretación de peticiones HTTP que pueden hacer que componentes distintos procesen de forma diferente los límites de una solicitud.
Actualizar el paquete
Debian recomienda actualizar los paquetes tomcat10. En trixie, el aviso fija la corrección en 10.1.60-1~deb13u1; ese número corresponde al paquete de Debian y no debe tomarse como versión universal para otras distribuciones. Comprueba la actualización disponible para tu versión de Debian y aplícala desde sus repositorios de seguridad. Después, verifica el paquete instalado y sigue el procedimiento habitual de despliegue para que el servicio ejecute el software actualizado.
