CVE-2026-91920

Biblioteka Undertow używana w WildFly, JBoss EAP i innych aplikacjach Java nie waliduje poprawnie nagłówka Host w żądaniach HTTP, co pozwala na przetwarzanie złośliwych nagłówków.

W Undertow znaleziono podatność, która wpływa na serwer obsługujący protokół wildfly-http-client. Gdy złośliwy użytkownik otwiera i zamyka połączenie z portem HTTP serwera, a następnie natychmiast je zamyka, serwer może wyczerpać pamięć i limity otwartych plików. Podczas aktualizacji HTTP do remoting, WriteTimeoutStreamSinkConduit wycieka połączenia, jeśli RemotingConnection jest zamknięty przez Remoting ServerConnectionOpenListener, co prowadzi do wycieku całego drzewa zależności.

W komponencie PathResourceManager serwera WWW Undertow mechanizm weryfikacji, czy dowiązanie symboliczne wskazuje bezpieczną lokalizację, sprawdza jedynie, czy ścieżka docelowa zaczyna się od określonego ciągu, nie upewniając się, że odpowiada pełnej nazwie katalogu. Może to pozwolić atakującemu na dostęp do plików w katalogu sąsiednim, którego nazwa zaczyna się od tych samych znaków co autoryzowany katalog.

Undertow to elastyczny, wydajny serwer WWW używany w JBoss EAP i WildFly. Znaleziono błąd w sposobie obsługi połączeń WebSocket. Konkretnie, niektóre limity konfiguracyjne, takie jak rozmiary buforów wiadomości i limity czasu sesji, nie mogą być dostosowane i domyślnie są nieograniczone. Pozwala to zdalnemu atakującemu na wysyłanie dużych ilości danych lub utrzymywanie połączeń w nieskończoność, co może doprowadzić do awarii serwera poprzez wyczerpanie pamięci lub innych zasobów.

W Undertow wykryto błąd, który zdalny atakujący może wykorzystać, wysyłając specjalnie spreparowane wiadomości WebSocket z negocjacją permessage-deflate. Prowadzi to do nadmiernego zużycia pamięci przez metodę PerMessageDeflateFunction.largerBuffer(), która stosuje podwajanie wykładnicze, co skutkuje odmową usługi (DoS) dla aplikacji.

Wada w Undertow, serwerze HTTP, w ścieżce zapisu nagłówków odpowiedzi. Metoda writeString() wykonuje ciche zawężenie z 16-bitowych znaków Unicode do 8-bitowych bajtów podczas zapisu wartości nagłówków odpowiedzi. Zdalny atakujący może wykorzystać to, dostarczając specjalne znaki Unicode w danych kontrolowanych przez użytkownika, które aplikacja umieszcza w nagłówkach odpowiedzi, co prowadzi do obcięcia znaków do kontrolnych lub specjalnych symboli ASCII, potencjalnie powodując ograniczony wpływ na integralność lub ujawnienie informacji.

W komponencie ChunkReader serwera HTTP Undertow, używanego przez WildFly i JBoss EAP do obsługi kodowania transferu fragmentarycznego, znaleziono podatność. Parser używa jednej zmiennej wewnętrznej do przechowywania zarówno pozostałego rozmiaru fragmentu, jak i flag stanu. Wysyłając specjalnie spreparowane żądanie z bardzo dużym rozmiarem fragmentu, atakujący może spowodować nakładanie się tych wartości, co prowadzi do przedwczesnego zakończenia żądania i umożliwia przemycenie drugiego żądania, potencjalnie omijając kontrolę bezpieczeństwa.

W Undertow stwierdzono wadę polegającą na możliwości wywołania błędu Out of Memory przez zdalnego atakującego na punktach końcowych WebSocket bez uwierzytelnienia. Dotyczy to każdej klasy @ServerEndpoint, która ma metodę @OnMessage. Atakujący może przeprowadzić atak DoS bez uwierzytelnienia, używając tylko standardowego uzgadniania WebSocket.

Listener AJP w Undertow honoruje sfałszowane atrybuty ssl_cert i is_ssl bez wymagania uwierzytelniania wspólnym sekretem. Umożliwia to nieuwierzytelnionemu atakującemu z bezpośrednim dostępem TCP do portu 8009 ominięcie uwierzytelniania CLIENT-CERT poprzez wstrzyknięcie sfałszowanego certyfikatu X.509 przez protokół AJP.

W Undertow, gdy pierwszy wiersz nagłówka żądania HTTP zaczyna się od jednej lub więcej spacji, serwer usuwa te spacje, co narusza standardy HTTP. Zdalny atakujący może wykorzystać to do przemycania żądań (request smuggling).