CVE-2026-28369

Biblioteka Undertow używana w WildFly, JBoss EAP i innych aplikacjach Java nie waliduje poprawnie nagłówka Host w żądaniach HTTP, co pozwala na przetwarzanie złośliwych nagłówków.

W Undertow znaleziono podatność, która wpływa na serwer obsługujący protokół wildfly-http-client. Gdy złośliwy użytkownik otwiera i zamyka połączenie z portem HTTP serwera, a następnie natychmiast je zamyka, serwer może wyczerpać pamięć i limity otwartych plików. Podczas aktualizacji HTTP do remoting, WriteTimeoutStreamSinkConduit wycieka połączenia, jeśli RemotingConnection jest zamknięty przez Remoting ServerConnectionOpenListener, co prowadzi do wycieku całego drzewa zależności.

W Undertow wykryto błąd, który zdalny atakujący może wykorzystać, wysyłając specjalnie spreparowane wiadomości WebSocket z negocjacją permessage-deflate. Prowadzi to do nadmiernego zużycia pamięci przez metodę PerMessageDeflateFunction.largerBuffer(), która stosuje podwajanie wykładnicze, co skutkuje odmową usługi (DoS) dla aplikacji.

Wada w Undertow, serwerze HTTP, w ścieżce zapisu nagłówków odpowiedzi. Metoda writeString() wykonuje ciche zawężenie z 16-bitowych znaków Unicode do 8-bitowych bajtów podczas zapisu wartości nagłówków odpowiedzi. Zdalny atakujący może wykorzystać to, dostarczając specjalne znaki Unicode w danych kontrolowanych przez użytkownika, które aplikacja umieszcza w nagłówkach odpowiedzi, co prowadzi do obcięcia znaków do kontrolnych lub specjalnych symboli ASCII, potencjalnie powodując ograniczony wpływ na integralność lub ujawnienie informacji.

W komponencie ChunkReader serwera HTTP Undertow, używanego przez WildFly i JBoss EAP do obsługi kodowania transferu fragmentarycznego, znaleziono podatność. Parser używa jednej zmiennej wewnętrznej do przechowywania zarówno pozostałego rozmiaru fragmentu, jak i flag stanu. Wysyłając specjalnie spreparowane żądanie z bardzo dużym rozmiarem fragmentu, atakujący może spowodować nakładanie się tych wartości, co prowadzi do przedwczesnego zakończenia żądania i umożliwia przemycenie drugiego żądania, potencjalnie omijając kontrolę bezpieczeństwa.

W Undertow stwierdzono wadę polegającą na możliwości wywołania błędu Out of Memory przez zdalnego atakującego na punktach końcowych WebSocket bez uwierzytelnienia. Dotyczy to każdej klasy @ServerEndpoint, która ma metodę @OnMessage. Atakujący może przeprowadzić atak DoS bez uwierzytelnienia, używając tylko standardowego uzgadniania WebSocket.

Listener AJP w Undertow honoruje sfałszowane atrybuty ssl_cert i is_ssl bez wymagania uwierzytelniania wspólnym sekretem. Umożliwia to nieuwierzytelnionemu atakującemu z bezpośrednim dostępem TCP do portu 8009 ominięcie uwierzytelniania CLIENT-CERT poprzez wstrzyknięcie sfałszowanego certyfikatu X.509 przez protokół AJP.

W Undertow wykryto podatność umożliwiającą atak zdalnemu atakującemu na skonstruowanie specjalnie spreparowanych żądań, w których nazwy nagłówków są parsowane inaczej przez Undertow niż przez proxy znajdujące się przed nim. Ta rozbieżność w interpretacji nagłówków może zostać wykorzystana do przeprowadzenia ataku typu request smuggling.

W Undertow wykryto podatność umożliwiającą przemycanie żądań HTTP. Atakujący może wysłać sekwencję `\r\r\r` jako terminator bloku nagłówka, co prowadzi do błędnej interpretacji granic żądań przez niektóre serwery proxy.

Podatność CVE-2026-3260 została odrzucona, ponieważ Undertow domyślnie ogranicza rozmiar encji żądania HTTP. Każde żądanie (w tym GET lub HEAD) z ciałem przekraczającym limit jest bezpiecznie odrzucane, co zapobiega atakom DoS polegającym na wyczerpaniu pamięci.