CVE-2025-66560
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
W frameworku Quarkus przed wersjami 3.31.0, 3.27.2 i 3.20.5 istnieje podatność w warstwie HTTP Quarkus REST. Podczas zapisu odpowiedzi framework czeka na pełne przesłanie wcześniej zapisanych fragmentów; jeśli połączenie klienta zostanie przerwane, wątek roboczy nigdy nie jest zwalniany i zostaje trwale zablokowany. Może to doprowadzić do wyczerpania wątków roboczych i niedostępności aplikacji.
Ocena ryzyka
Powtarzające się przerwania połączeń mogą doprowadzić do wyczerpania puli wątków, co skutkuje degradacją wydajności lub całkowitą niedostępnością aplikacji. Może to wpłynąć na ciągłość działania usług.
Rekomendacja
Zaktualizuj Quarkus do wersji 3.31.0, 3.27.2 lub 3.20.5, w których podatność została naprawiona. Jako tymczasowe obejście wdroż health check monitorujący stan i nasycenie puli wątków.
Inne podatności w Quarkus
Zobacz wszystkie- CVE-2026-87743Wysokie
Wykryto wadę w zabezpieczeniach HTTP Quarkus. Nieuwierzytelniony atakujący może wykorzystać rozbieżność w normalizacji ścieżek między matcherem bezpieczeństwa a dyspozytorami żądań HTTP, tworząc URL uznawany przez matcher za publiczny, który następnie jest kierowany do chronionego punktu końcowego, co prowadzi do obejścia autoryzacji i potencjalnego nieautoryzowanego dostępu do poufnych informacji.
- CVE-2026-19625Średnie
W aplikacji Quarkus z wieloma punktami końcowymi zabezpieczonymi przez różnych dostawców OIDC, gdy włączony jest opcjonalny cache introspekcji tokenów, ważny token wydany przez dostawcę OIDC 1 może być użyty do uzyskania dostępu do punktu końcowego zabezpieczonego przez dostawcę OIDC 2.
- CVE-2026-50559Wysokie
Podatność w Quarkus umożliwia ominięcie polityk autoryzacji opartych na ścieżce HTTP poprzez użycie zakodowanych średników (%3B) i ukośników (%2F lub %5C).
- CVE-2026-39852Wysokie
Quarkus przed wersjami 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1, 3.34.7 i 3.35.2 ma niespójność normalizacji ścieżek między warstwą bezpieczeństwa a routingiem. Atakujący może ominąć polityki autoryzacji, dodając średnik i dowolny tekst do URL (np. /api/admin;anything).
- CVE-2024-1726Średnie
W implementacji RESTEasy Reactive w Quarkus wykryto błąd, polegający na tym, że kontrole bezpieczeństwa dla niektórych punktów końcowych JAX-RS są wykonywane po serializacji, co zwiększa zużycie zasobów podczas sprawdzania żądań HTTP. W pewnych konfiguracjach atakujący znający ścieżki żądań POST, PUT lub PATCH może przeciążyć podatne punkty końcowe, prowadząc do odmowy usługi.
- CVE-2024-1979Niskie
W produkcie Quarkus znaleziono podatność, która w określonych warunkach związanych z procesem CI może doprowadzić do przypadkowego opublikowania poświadczeń git, co może narazić repozytorium git na ryzyko.
- CVE-2023-4853Wysokie
Podatność w Quarkus, gdzie polityki bezpieczeństwa HTTP nie sanityzują poprawnie niektórych permutacji znaków podczas akceptowania żądań, co prowadzi do nieprawidłowej oceny uprawnień. Atakujący może ominąć politykę bezpieczeństwa, uzyskując nieautoryzowany dostęp do punktów końcowych i potencjalnie powodując odmowę usługi.
Oryginalny opis (angielski, źródło NVD)
Quarkus is a Cloud Native, (Linux) Container First framework for writing Java applications. Prior to versions 3.31.0, 3.27.2, and 3.20.5, a vulnerability exists in the HTTP layer of Quarkus REST related to response handling. When a response is being written, the framework waits for previously written response chunks to be fully transmitted before proceeding. If the client connection is dropped during this waiting period, the associated worker thread is never released and becomes permanently blocked. Under sustained or repeated occurrences, this can exhaust the available worker threads, leading to degraded performance, or complete unavailability of the application. This issue has been patched in versions 3.31.0, 3.27.2, and 3.20.5. A workaround involves implementing a health check that monitors the status and saturation of the worker thread pool to detect abnormal thread retention early.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS