CVE-2026-42404
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Apache Neethi nie nakłada ograniczeń na URI podczas ręcznego pobierania zdalnych referencji polityk przez API PolicyReference. Aplikacja może wykonać żądanie wychodzące do dowolnych protokołów i wewnętrznych adresów IP. Od wersji 3.2.2 dozwolone są tylko URI http/https, a adresy link-local, multicast i any-local są zabronione.
Ocena ryzyka
Możliwe jest wykorzystanie podatności do skanowania sieci wewnętrznej lub ataków SSRF, co może prowadzić do nieautoryzowanego dostępu do zasobów wewnętrznych. Wymaga to jednak jawnego wywołania API przez aplikację.
Rekomendacja
Zaktualizuj Apache Neethi do wersji 3.2.2, która wprowadza ograniczenia protokołów i adresów. Przejrzyj aplikacje korzystające z PolicyReference pod kątem niekontrolowanych URI.
Inne podatności w Apache Neethi
Zobacz wszystkie- CVE-2026-66144Wysokie
Podatność na atak DoS w Apache Neethi podczas ręcznego pobierania zdalnych referencji polityk przez API. Pobranie bardzo dużej polityki może spowodować wyczerpanie zasobów. Problem został naprawiony w wersji 3.2.3 poprzez nałożenie domyślnego maksymalnego rozmiaru danych.
- CVE-2026-66143Wysokie
Możliwość obejścia maksymalnej liczby znormalizowanych alternatyw polityk w Apache Neethi 3.2.2 poprzez spreparowane polityki, co może prowadzić do ataku DoS przez zużycie zasobów. Problem naprawiony w wersji 3.2.3.
- CVE-2026-66142Wysokie
Podatność na niekontrolowaną rekurencję w Apache Neethi podczas parsowania polityk bez identyfikatorów lub o głęboko zagnieżdżonej strukturze, co może prowadzić do ataku DoS przez wyczerpanie pamięci. Problem naprawiony w wersji 3.2.3.
- CVE-2026-42403Wysokie
Apache Neethi nieprawidłowo wykrywa cykliczne odniesienia w definicjach polityk. Cykliczne odniesienia w dokumentach WS-Policy mogą prowadzić do nieskończonej pętli lub nadmiernej rekurencji, co skutkuje przepełnieniem stosu lub zawieszeniem aplikacji.
- CVE-2026-42402Wysokie
Apache Neethi jest podatny na atak typu Denial of Service z powodu złożoności algorytmicznej w normalizacji polityki. Specjalnie przygotowane dokumenty WS-Policy mogą wywołać wykładnicze rozszerzenie iloczynu kartezjańskiego podczas procesu normalizacji, co prowadzi do nieograniczonego przydziału pamięci i wyczerpania sterty JVM.
Oryginalny opis (angielski, źródło NVD)
Apache Neethi does not impose any restrictions on URIs when manually fetching remote policy references through the PolicyReference API. When an application explicitly calls the API to retrieve a policy from a remote URI, an outbound request is made for arbitrary protocols and internal IP adddresses. From 3.2.2, only http or https URIs are allowed, and link-local/multicast/any-local addresses are forbidden. Users are recommended to upgrade to version 3.2.2, which fixes this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS