CVE-2026-59396

ŚrednieCVSS 4.9

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

W mechanizmie uwierzytelniania klienta private_key_jwt w UAA występuje podatność na atak typu denial-of-service. Gdy UAA pobiera zdalny JWKS URI, buforuje odpowiedź, a nieudane próby uwierzytelnienia mogą wywołać pełną deserializację tych buforowanych danych.

Ocena ryzyka

Atakujący spełniający warunki wstępne (dostęp zapisu do klientów lub przejęty endpoint) może wysyłać anonimowe żądania wymuszające wielokrotne parsowanie dużych buforowanych obiektów, powodując nadmierne zużycie CPU i potencjalne wyczerpanie sterty Javy przez OutOfMemoryError, co prowadzi do niedostępności usługi.

Rekomendacja

Zaktualizuj UAA do wersji zawierającej poprawkę tej podatności. Ogranicz dostęp zapisu do konfiguracji klientów oraz zabezpiecz zdalne endpointy JWKS przed przejęciem.

Inne podatności w UAA

CVE-2026-47840Wysokie
Podatność w UAA umożliwia atakującemu sieciowemu, znajdującemu się pomiędzy UAA a serwerem LDAP, podszycie się pod katalog LDAP przy użyciu dowolnego certyfikatu z zaufanego urzędu certyfikacji. Atakujący może przechwycić hasło bindowania LDAP oraz wszystkie hasła użytkowników końcowych przesyłane podczas uwierzytelniania simple-bind, a także zwrócić sfałszowane członkostwa w grupach, przyznając sobie uprawnienia administracyjne.

Oryginalny opis (angielski, źródło NVD)

A denial-of-service vulnerability exists in UAA's private_key_jwt client-authentication mechanism. When UAA retrieves a remote JWKS URI, it caches the response. Invalid authentication attempts can trigger full deserialization of this cached data. An attacker with prerequisites (write access to clients or a compromised endpoint) can send anonymous requests that force repeated parsing of large cached objects, causing excessive CPU usage and potential Java heap exhaustion via OutOfMemoryError, resulting in service unavailability.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS