CVE-2026-66144
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Podatność na atak DoS w Apache Neethi podczas ręcznego pobierania zdalnych referencji polityk przez API. Pobranie bardzo dużej polityki może spowodować wyczerpanie zasobów. Problem został naprawiony w wersji 3.2.3 poprzez nałożenie domyślnego maksymalnego rozmiaru danych.
Ocena ryzyka
Atakujący może spowodować niedostępność usługi poprzez wysłanie żądania pobrania ogromnej polityki, co prowadzi do przeciążenia systemu.
Rekomendacja
Zaleca się aktualizację Apache Neethi do wersji 3.2.3 lub nowszej.
Inne podatności w Apache Neethi
Zobacz wszystkie- CVE-2026-66143Wysokie
Możliwość obejścia maksymalnej liczby znormalizowanych alternatyw polityk w Apache Neethi 3.2.2 poprzez spreparowane polityki, co może prowadzić do ataku DoS przez zużycie zasobów. Problem naprawiony w wersji 3.2.3.
- CVE-2026-66142Wysokie
Podatność na niekontrolowaną rekurencję w Apache Neethi podczas parsowania polityk bez identyfikatorów lub o głęboko zagnieżdżonej strukturze, co może prowadzić do ataku DoS przez wyczerpanie pamięci. Problem naprawiony w wersji 3.2.3.
- CVE-2026-42404Średnie
Apache Neethi nie nakłada ograniczeń na URI podczas ręcznego pobierania zdalnych referencji polityk przez API PolicyReference. Aplikacja może wykonać żądanie wychodzące do dowolnych protokołów i wewnętrznych adresów IP. Od wersji 3.2.2 dozwolone są tylko URI http/https, a adresy link-local, multicast i any-local są zabronione.
- CVE-2026-42403Wysokie
Apache Neethi nieprawidłowo wykrywa cykliczne odniesienia w definicjach polityk. Cykliczne odniesienia w dokumentach WS-Policy mogą prowadzić do nieskończonej pętli lub nadmiernej rekurencji, co skutkuje przepełnieniem stosu lub zawieszeniem aplikacji.
- CVE-2026-42402Wysokie
Apache Neethi jest podatny na atak typu Denial of Service z powodu złożoności algorytmicznej w normalizacji polityki. Specjalnie przygotowane dokumenty WS-Policy mogą wywołać wykładnicze rozszerzenie iloczynu kartezjańskiego podczas procesu normalizacji, co prowadzi do nieograniczonego przydziału pamięci i wyczerpania sterty JVM.
Oryginalny opis (angielski, źródło NVD)
Although remote policy references are not retrieved during policy normalization, if they are manually retrieved via the API it can cause a denial of service attack if a huge policy is retrieved. Users are recommended to upgrade to version 3.2.3, which fixes this issue by imposing a default maximum size on data read from remote policy references.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS