CVE-2026-66142
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Podatność na niekontrolowaną rekurencję w Apache Neethi podczas parsowania polityk bez identyfikatorów lub o głęboko zagnieżdżonej strukturze, co może prowadzić do ataku DoS przez wyczerpanie pamięci. Problem naprawiony w wersji 3.2.3.
Ocena ryzyka
Atakujący może spowodować awarię systemu z powodu wyczerpania pamięci, wysyłając specjalnie spreparowane polityki.
Rekomendacja
Zaleca się aktualizację Apache Neethi do wersji 3.2.3 lub nowszej.
Inne podatności w Apache Neethi
Zobacz wszystkie- CVE-2026-66144Wysokie
Podatność na atak DoS w Apache Neethi podczas ręcznego pobierania zdalnych referencji polityk przez API. Pobranie bardzo dużej polityki może spowodować wyczerpanie zasobów. Problem został naprawiony w wersji 3.2.3 poprzez nałożenie domyślnego maksymalnego rozmiaru danych.
- CVE-2026-66143Wysokie
Możliwość obejścia maksymalnej liczby znormalizowanych alternatyw polityk w Apache Neethi 3.2.2 poprzez spreparowane polityki, co może prowadzić do ataku DoS przez zużycie zasobów. Problem naprawiony w wersji 3.2.3.
- CVE-2026-42404Średnie
Apache Neethi nie nakłada ograniczeń na URI podczas ręcznego pobierania zdalnych referencji polityk przez API PolicyReference. Aplikacja może wykonać żądanie wychodzące do dowolnych protokołów i wewnętrznych adresów IP. Od wersji 3.2.2 dozwolone są tylko URI http/https, a adresy link-local, multicast i any-local są zabronione.
- CVE-2026-42403Wysokie
Apache Neethi nieprawidłowo wykrywa cykliczne odniesienia w definicjach polityk. Cykliczne odniesienia w dokumentach WS-Policy mogą prowadzić do nieskończonej pętli lub nadmiernej rekurencji, co skutkuje przepełnieniem stosu lub zawieszeniem aplikacji.
- CVE-2026-42402Wysokie
Apache Neethi jest podatny na atak typu Denial of Service z powodu złożoności algorytmicznej w normalizacji polityki. Specjalnie przygotowane dokumenty WS-Policy mogą wywołać wykładnicze rozszerzenie iloczynu kartezjańskiego podczas procesu normalizacji, co prowadzi do nieograniczonego przydziału pamięci i wyczerpania sterty JVM.
Oryginalny opis (angielski, źródło NVD)
Apache Neethi is vulnerable to uncontrolled recursion when parsing policies that lack policy Ids or with deeply nested structures, which may lead to a denial of service attack when parsing policies due to runtime memory exhaustion. Users are recommended to upgrade to version 3.2.3, which fixes this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS