CVE-2026-44241

WysokieCVSS 7.5

Opublikowano: 12/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 11/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.54%

Percentyl 45 - wyżej niż 45% wszystkich znanych CVE

Streszczenie

Podatność w Micronaut Framework pozwala nieuwierzytelnionemu atakującemu na wyczerpanie pamięci sterty poprzez wysyłanie żądań z unikalnymi tagami językowymi w nagłówku Accept-Language. Mechanizm buforowania DateTimeFormatter w TimeConverterRegistrar używa nieograniczonej mapy ConcurrentHashMap, której klucz zawiera lokalizację z nagłówka HTTP, co umożliwia generowanie nieograniczonej liczby wpisów w pamięci podręcznej.

Ocena ryzyka

Atak prowadzi do wyczerpania pamięci sterty i awarii JVM, co skutkuje przerwaniem działania aplikacji i potencjalną utratą dostępności usługi dla użytkowników.

Rekomendacja

Należy niezwłocznie zaktualizować Micronaut Framework do wersji 4.10.22, 3.10.6 lub 3.8.14, w zależności od używanej gałęzi. Jeśli aktualizacja nie jest możliwa, rozważ ograniczenie akceptowanych języków w nagłówku Accept-Language na poziomie proxy lub firewalla aplikacyjnego.

Inne podatności w Micronaut Framework

CVE-2026-44242Niskie
W Micronaut Framework przed wersją 4.10.22 bundleCache jest kluczowany przez (Locale, baseName), gdzie locale pochodzi z nagłówka HTTP Accept-Language. W aplikacjach, które jawnie rejestrują ziarno ResourceBundleMessageSource i zwracają odpowiedzi błędów HTML, nieuwierzytelniony atakujący może wyczerpać pamięć sterty, wysyłając żądania z dużą liczbą unikalnych wartości Accept-Language, z których każda tworzy nowy wpis w nieograniczonym bundleCache.

Oryginalny opis (angielski, źródło NVD)

Micronaut Framework is a JVM-based full stack Java framework designed for building modular, easily testable JVM applications. From 4.3.0 to before 4.10.22, 3.10.6, and 3.8.14, TimeConverterRegistrar caches DateTimeFormatter instances in an unbounded ConcurrentHashMap<String, DateTimeFormatter> whose key is derived from the @Format annotation pattern concatenated with the locale from the HTTP Accept-Language header. Because Locale.forLanguageTag() accepts arbitrary BCP 47 private-use extensions (en-x-a001, en-x-a002, …), an unauthenticated attacker can generate an unlimited number of unique cache keys by sending requests with novel locale tags, growing the cache until heap memory is exhausted and the JVM crashes. This vulnerability is fixed in 4.10.22, 3.10.6, and 3.8.14.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS