In Apache Tomcat, un Realm è un dominio di autenticazione che verifica le credenziali di accesso rispetto a una fonte di identità configurata. A seconda della configurazione, tale fonte può essere un file locale, un database, una directory LDAP o un altro sistema di autenticazione. Tomcat usa il Realm per stabilire se un utente è valido e quali ruoli o autorizzazioni possiede.
I Realm sono importanti per la cybersicurezza perché contribuiscono a far rispettare il confine tra accesso non autenticato e accesso autorizzato. Un difetto o una configurazione non sicura in un Realm o nel relativo flusso di accesso può indebolire l'autenticazione, consentendo potenzialmente un accesso che dovrebbe essere negato. I responsabili della difesa dovrebbero identificare quale Realm è attivo, verificare la relativa fonte di identità e le mappature dei ruoli e applicare gli aggiornamenti pertinenti di Tomcat. Nelle distribuzioni reali, l'esposizione dipende dalla versione di Tomcat interessata e dall'effettivo utilizzo del componente o della configurazione vulnerabile.