CVE-2026-59295
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wychodzące żądania HTTP przy użyciu klienta instrumentowanego przez Micrometer mogą powodować warunek DoS z powodu nieograniczonego wycieku pamięci. Podatne wersje to Micrometer 1.17.0, 1.16.0-1.16.6, 1.15.0-1.15.12, 1.14.0-1.14.16 oraz 1.9.18 i wcześniejsze.
Ocena ryzyka
Atakujący może wysyłać wiele żądań HTTP, co prowadzi do wyczerpania pamięci i awarii aplikacji. Może to spowodować niedostępność usług dla użytkowników.
Rekomendacja
Zaktualizuj Micrometer do wersji, która zawiera poprawkę. Monitoruj użycie pamięci i ograniczaj liczbę żądań wychodzących.
Inne podatności w Micrometer
Zobacz wszystkie- CVE-2026-59296Średnie
Używanie niezaufanych, nieznormalizowanych danych jako danych metryk (takich jak nazwy metryk, klucze tagów lub wartości tagów) jest niebezpiecznym antywzorcem, którego ogólna instrumentacja nie powinna nigdy wykonywać. Podatność dotyczy biblioteki Micrometer w wersjach 1.17.0, 1.16.0-1.16.6, 1.15.0-1.15.12, 1.14.0-1.14.16 oraz 1.9.18 i wcześniejszych.
- CVE-2026-40984Wysokie
Podatność w Micrometer umożliwia zdalną odmowę usługi (DoS) poprzez specjalnie spreparowane żądania HTTP. Dotyczy wielu wersji micrometer-core, micrometer-jetty11 i micrometer-jetty12.
- CVE-2026-40983Wysokie
W Micrometer istnieje możliwość, że użytkownik wyśle specjalnie spreparowane żądania gRPC, które mogą spowodować warunek odmowy usługi (DoS). Podatne są wersje 1.16.0 do 1.16.5 oraz 1.15.0 do 1.15.11.
Oryginalny opis (angielski, źródło NVD)
It is possible for outbound HTTP requests using a Micrometer-instrumented client to cause a denial-of-service (DoS) condition due to an unbounded memory leak. Micrometer 1.17.0 Micrometer 1.16.0 - 1.16.6 Micrometer 1.15.0 - 1.15.12 Micrometer 1.14.0 - 1.14.16 Micrometer 1.9.18 and earlier