CVE-2026-42402
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
Apache Neethi jest podatny na atak typu Denial of Service z powodu złożoności algorytmicznej w normalizacji polityki. Specjalnie przygotowane dokumenty WS-Policy mogą wywołać wykładnicze rozszerzenie iloczynu kartezjańskiego podczas procesu normalizacji, co prowadzi do nieograniczonego przydziału pamięci i wyczerpania sterty JVM.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wyczerpania zasobów pamięci, co prowadzi do awarii aplikacji i przestoju usług. Może to mieć poważne konsekwencje dla dostępności systemów w organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 3.2.2, która ogranicza maksymalną liczbę normalizowanych alternatyw polityki. To pomoże w zapobieganiu wyczerpaniu pamięci podczas normalizacji.
Inne podatności w Apache Neethi
Zobacz wszystkie- CVE-2026-66144Wysokie
Podatność na atak DoS w Apache Neethi podczas ręcznego pobierania zdalnych referencji polityk przez API. Pobranie bardzo dużej polityki może spowodować wyczerpanie zasobów. Problem został naprawiony w wersji 3.2.3 poprzez nałożenie domyślnego maksymalnego rozmiaru danych.
- CVE-2026-66143Wysokie
Możliwość obejścia maksymalnej liczby znormalizowanych alternatyw polityk w Apache Neethi 3.2.2 poprzez spreparowane polityki, co może prowadzić do ataku DoS przez zużycie zasobów. Problem naprawiony w wersji 3.2.3.
- CVE-2026-66142Wysokie
Podatność na niekontrolowaną rekurencję w Apache Neethi podczas parsowania polityk bez identyfikatorów lub o głęboko zagnieżdżonej strukturze, co może prowadzić do ataku DoS przez wyczerpanie pamięci. Problem naprawiony w wersji 3.2.3.
- CVE-2026-42404Średnie
Apache Neethi nie nakłada ograniczeń na URI podczas ręcznego pobierania zdalnych referencji polityk przez API PolicyReference. Aplikacja może wykonać żądanie wychodzące do dowolnych protokołów i wewnętrznych adresów IP. Od wersji 3.2.2 dozwolone są tylko URI http/https, a adresy link-local, multicast i any-local są zabronione.
- CVE-2026-42403Wysokie
Apache Neethi nieprawidłowo wykrywa cykliczne odniesienia w definicjach polityk. Cykliczne odniesienia w dokumentach WS-Policy mogą prowadzić do nieskończonej pętli lub nadmiernej rekurencji, co skutkuje przepełnieniem stosu lub zawieszeniem aplikacji.
Oryginalny opis (angielski, źródło NVD)
Apache Neethi is vulnerable to a Denial of Service attack through algorithmic complexity in policy normalization. Specially crafted WS-Policy documents can trigger an exponential Cartesian cross-product expansion during the normalization process, causing unbounded memory allocation that exhausts the JVM heap. This occurs when the normalization process generates an excessive number of policy alternatives without bounds, leading to runtime memory exhaustion. Users should upgrade to 3.2.2 which limits the maximum number of normalized policy alternatives.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS