CVE-2024-1726
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
W implementacji RESTEasy Reactive w Quarkus wykryto błąd, polegający na tym, że kontrole bezpieczeństwa dla niektórych punktów końcowych JAX-RS są wykonywane po serializacji, co zwiększa zużycie zasobów podczas sprawdzania żądań HTTP. W pewnych konfiguracjach atakujący znający ścieżki żądań POST, PUT lub PATCH może przeciążyć podatne punkty końcowe, prowadząc do odmowy usługi.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku DoS, co może zakłócić dostępność aplikacji opartych na Quarkus. Atak wymaga znajomości ścieżek, ale może być przeprowadzony zdalnie.
Rekomendacja
Zaleca się aktualizację Quarkus do wersji z poprawką oraz ograniczenie dostępu do wrażliwych punktów końcowych. Należy również monitorować użycie zasobów.
Inne podatności w Quarkus
Zobacz wszystkie- CVE-2026-87743Wysokie
Wykryto wadę w zabezpieczeniach HTTP Quarkus. Nieuwierzytelniony atakujący może wykorzystać rozbieżność w normalizacji ścieżek między matcherem bezpieczeństwa a dyspozytorami żądań HTTP, tworząc URL uznawany przez matcher za publiczny, który następnie jest kierowany do chronionego punktu końcowego, co prowadzi do obejścia autoryzacji i potencjalnego nieautoryzowanego dostępu do poufnych informacji.
- CVE-2026-19625Średnie
W aplikacji Quarkus z wieloma punktami końcowymi zabezpieczonymi przez różnych dostawców OIDC, gdy włączony jest opcjonalny cache introspekcji tokenów, ważny token wydany przez dostawcę OIDC 1 może być użyty do uzyskania dostępu do punktu końcowego zabezpieczonego przez dostawcę OIDC 2.
- CVE-2026-50559Wysokie
Podatność w Quarkus umożliwia ominięcie polityk autoryzacji opartych na ścieżce HTTP poprzez użycie zakodowanych średników (%3B) i ukośników (%2F lub %5C).
- CVE-2026-39852Wysokie
Quarkus przed wersjami 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1, 3.34.7 i 3.35.2 ma niespójność normalizacji ścieżek między warstwą bezpieczeństwa a routingiem. Atakujący może ominąć polityki autoryzacji, dodając średnik i dowolny tekst do URL (np. /api/admin;anything).
- CVE-2025-66560Średnie
W frameworku Quarkus przed wersjami 3.31.0, 3.27.2 i 3.20.5 istnieje podatność w warstwie HTTP Quarkus REST. Podczas zapisu odpowiedzi framework czeka na pełne przesłanie wcześniej zapisanych fragmentów; jeśli połączenie klienta zostanie przerwane, wątek roboczy nigdy nie jest zwalniany i zostaje trwale zablokowany. Może to doprowadzić do wyczerpania wątków roboczych i niedostępności aplikacji.
- CVE-2024-1979Niskie
W produkcie Quarkus znaleziono podatność, która w określonych warunkach związanych z procesem CI może doprowadzić do przypadkowego opublikowania poświadczeń git, co może narazić repozytorium git na ryzyko.
- CVE-2023-4853Wysokie
Podatność w Quarkus, gdzie polityki bezpieczeństwa HTTP nie sanityzują poprawnie niektórych permutacji znaków podczas akceptowania żądań, co prowadzi do nieprawidłowej oceny uprawnień. Atakujący może ominąć politykę bezpieczeństwa, uzyskując nieautoryzowany dostęp do punktów końcowych i potencjalnie powodując odmowę usługi.
Oryginalny opis (angielski, źródło NVD)
A flaw was discovered in the RESTEasy Reactive implementation in Quarkus. Due to security checks for some JAX-RS endpoints being performed after serialization, more processing resources are consumed while the HTTP request is checked. In certain configurations, if an attacker has knowledge of any POST, PUT, or PATCH request paths, they can potentially identify vulnerable endpoints and trigger excessive resource usage as the endpoints process the requests. This can result in a denial of service.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS