CVE-2026-28367

Biblioteka Undertow używana w WildFly, JBoss EAP i innych aplikacjach Java nie waliduje poprawnie nagłówka Host w żądaniach HTTP, co pozwala na przetwarzanie złośliwych nagłówków.

W Undertow znaleziono podatność, która wpływa na serwer obsługujący protokół wildfly-http-client. Gdy złośliwy użytkownik otwiera i zamyka połączenie z portem HTTP serwera, a następnie natychmiast je zamyka, serwer może wyczerpać pamięć i limity otwartych plików. Podczas aktualizacji HTTP do remoting, WriteTimeoutStreamSinkConduit wycieka połączenia, jeśli RemotingConnection jest zamknięty przez Remoting ServerConnectionOpenListener, co prowadzi do wycieku całego drzewa zależności.

W Undertow wykryto błąd, który zdalny atakujący może wykorzystać, wysyłając specjalnie spreparowane wiadomości WebSocket z negocjacją permessage-deflate. Prowadzi to do nadmiernego zużycia pamięci przez metodę PerMessageDeflateFunction.largerBuffer(), która stosuje podwajanie wykładnicze, co skutkuje odmową usługi (DoS) dla aplikacji.

Wada w Undertow, serwerze HTTP, w ścieżce zapisu nagłówków odpowiedzi. Metoda writeString() wykonuje ciche zawężenie z 16-bitowych znaków Unicode do 8-bitowych bajtów podczas zapisu wartości nagłówków odpowiedzi. Zdalny atakujący może wykorzystać to, dostarczając specjalne znaki Unicode w danych kontrolowanych przez użytkownika, które aplikacja umieszcza w nagłówkach odpowiedzi, co prowadzi do obcięcia znaków do kontrolnych lub specjalnych symboli ASCII, potencjalnie powodując ograniczony wpływ na integralność lub ujawnienie informacji.

W komponencie ChunkReader serwera HTTP Undertow, używanego przez WildFly i JBoss EAP do obsługi kodowania transferu fragmentarycznego, znaleziono podatność. Parser używa jednej zmiennej wewnętrznej do przechowywania zarówno pozostałego rozmiaru fragmentu, jak i flag stanu. Wysyłając specjalnie spreparowane żądanie z bardzo dużym rozmiarem fragmentu, atakujący może spowodować nakładanie się tych wartości, co prowadzi do przedwczesnego zakończenia żądania i umożliwia przemycenie drugiego żądania, potencjalnie omijając kontrolę bezpieczeństwa.

W Undertow stwierdzono wadę polegającą na możliwości wywołania błędu Out of Memory przez zdalnego atakującego na punktach końcowych WebSocket bez uwierzytelnienia. Dotyczy to każdej klasy @ServerEndpoint, która ma metodę @OnMessage. Atakujący może przeprowadzić atak DoS bez uwierzytelnienia, używając tylko standardowego uzgadniania WebSocket.

Listener AJP w Undertow honoruje sfałszowane atrybuty ssl_cert i is_ssl bez wymagania uwierzytelniania wspólnym sekretem. Umożliwia to nieuwierzytelnionemu atakującemu z bezpośrednim dostępem TCP do portu 8009 ominięcie uwierzytelniania CLIENT-CERT poprzez wstrzyknięcie sfałszowanego certyfikatu X.509 przez protokół AJP.

W Undertow, gdy pierwszy wiersz nagłówka żądania HTTP zaczyna się od jednej lub więcej spacji, serwer usuwa te spacje, co narusza standardy HTTP. Zdalny atakujący może wykorzystać to do przemycania żądań (request smuggling).

W Undertow wykryto podatność umożliwiającą atak zdalnemu atakującemu na skonstruowanie specjalnie spreparowanych żądań, w których nazwy nagłówków są parsowane inaczej przez Undertow niż przez proxy znajdujące się przed nim. Ta rozbieżność w interpretacji nagłówków może zostać wykorzystana do przeprowadzenia ataku typu request smuggling.

Podatność CVE-2026-3260 została odrzucona, ponieważ Undertow domyślnie ogranicza rozmiar encji żądania HTTP. Każde żądanie (w tym GET lub HEAD) z ciałem przekraczającym limit jest bezpiecznie odrzucane, co zapobiega atakom DoS polegającym na wyczerpaniu pamięci.