CVE-2026-66143
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Możliwość obejścia maksymalnej liczby znormalizowanych alternatyw polityk w Apache Neethi 3.2.2 poprzez spreparowane polityki, co może prowadzić do ataku DoS przez zużycie zasobów. Problem naprawiony w wersji 3.2.3.
Ocena ryzyka
Atakujący może przeciążyć system, wysyłając specjalnie spreparowane polityki, co prowadzi do niedostępności usługi.
Rekomendacja
Zaleca się aktualizację Apache Neethi do wersji 3.2.3 lub nowszej.
Inne podatności w Apache Neethi
Zobacz wszystkie- CVE-2026-42403Wysokie
Apache Neethi nieprawidłowo wykrywa cykliczne odniesienia w definicjach polityk. Cykliczne odniesienia w dokumentach WS-Policy mogą prowadzić do nieskończonej pętli lub nadmiernej rekurencji, co skutkuje przepełnieniem stosu lub zawieszeniem aplikacji.
- CVE-2026-42402Wysokie
Apache Neethi jest podatny na atak typu Denial of Service z powodu złożoności algorytmicznej w normalizacji polityki. Specjalnie przygotowane dokumenty WS-Policy mogą wywołać wykładnicze rozszerzenie iloczynu kartezjańskiego podczas procesu normalizacji, co prowadzi do nieograniczonego przydziału pamięci i wyczerpania sterty JVM.
- CVE-2026-66144Wysokie
Podatność na atak DoS w Apache Neethi podczas ręcznego pobierania zdalnych referencji polityk przez API. Pobranie bardzo dużej polityki może spowodować wyczerpanie zasobów. Problem został naprawiony w wersji 3.2.3 poprzez nałożenie domyślnego maksymalnego rozmiaru danych.
- CVE-2026-66142Wysokie
Podatność na niekontrolowaną rekurencję w Apache Neethi podczas parsowania polityk bez identyfikatorów lub o głęboko zagnieżdżonej strukturze, co może prowadzić do ataku DoS przez wyczerpanie pamięci. Problem naprawiony w wersji 3.2.3.
Oryginalny opis (angielski, źródło NVD)
It is possible to bypass the maximum number of normalized policy alternatives that was introduced in Apache Neethi 3.2.2 via certain crafted policies, which may lead to a denial of service attack via resource consumption. Users are recommended to upgrade to version 3.2.3, which fixes this issue.