CVE-2026-15563
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W EAP IIOP usługa NameService akceptuje operacje bind bez uwierzytelnienia, co pozwala atakującemu przejąć zapytania JNDI i powiązać je ze złośliwym ORB, osiągając atak typu man-in-the-middle lub DoS na kolejne wywołania.
Ocena ryzyka
Ryzyko przechwycenia komunikacji i zakłócenia działania usług korzystających z JNDI, co może prowadzić do wycieku danych lub niedostępności systemu.
Rekomendacja
Włącz uwierzytelnianie dla operacji bind w NameService i ogranicz dostęp do portów IIOP tylko dla zaufanych klientów.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in EAP's IIOP. The listener's NameService would accept bind operations without authentication, allowing an attacker to hijack JNDI lookups and binding them to a malicious ORB, achieving MITM or DoS on further invocations.