CVE-2024-1726
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
W implementacji RESTEasy Reactive w Quarkus wykryto błąd, polegający na tym, że kontrole bezpieczeństwa dla niektórych punktów końcowych JAX-RS są wykonywane po serializacji, co zwiększa zużycie zasobów podczas sprawdzania żądań HTTP. W pewnych konfiguracjach atakujący znający ścieżki żądań POST, PUT lub PATCH może przeciążyć podatne punkty końcowe, prowadząc do odmowy usługi.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku DoS, co może zakłócić dostępność aplikacji opartych na Quarkus. Atak wymaga znajomości ścieżek, ale może być przeprowadzony zdalnie.
Rekomendacja
Zaleca się aktualizację Quarkus do wersji z poprawką oraz ograniczenie dostępu do wrażliwych punktów końcowych. Należy również monitorować użycie zasobów.
Inne podatności w Quarkus
Zobacz wszystkie- CVE-2026-50559Wysokie
Podatność w Quarkus umożliwia ominięcie polityk autoryzacji opartych na ścieżce HTTP poprzez użycie zakodowanych średników (%3B) i ukośników (%2F lub %5C).
- CVE-2026-39852Wysokie
Quarkus przed wersjami 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1, 3.34.7 i 3.35.2 ma niespójność normalizacji ścieżek między warstwą bezpieczeństwa a routingiem. Atakujący może ominąć polityki autoryzacji, dodając średnik i dowolny tekst do URL (np. /api/admin;anything).
- CVE-2024-1979Niskie
W produkcie Quarkus znaleziono podatność, która w określonych warunkach związanych z procesem CI może doprowadzić do przypadkowego opublikowania poświadczeń git, co może narazić repozytorium git na ryzyko.
- CVE-2023-4853Wysokie
Podatność w Quarkus, gdzie polityki bezpieczeństwa HTTP nie sanityzują poprawnie niektórych permutacji znaków podczas akceptowania żądań, co prowadzi do nieprawidłowej oceny uprawnień. Atakujący może ominąć politykę bezpieczeństwa, uzyskując nieautoryzowany dostęp do punktów końcowych i potencjalnie powodując odmowę usługi.
Oryginalny opis (angielski, źródło NVD)
A flaw was discovered in the RESTEasy Reactive implementation in Quarkus. Due to security checks for some JAX-RS endpoints being performed after serialization, more processing resources are consumed while the HTTP request is checked. In certain configurations, if an attacker has knowledge of any POST, PUT, or PATCH request paths, they can potentially identify vulnerable endpoints and trigger excessive resource usage as the endpoints process the requests. This can result in a denial of service.