CVE-2026-66273
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Atakujący przed uwierzytelnieniem może wykorzystać obsługę rozmiaru/liczby typów, aby spowodować nadmierną alokację, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Proton-J do wersji 0.34.1 włącznie. Zalecane jest uaktualnienie do wersji 0.35.0, która naprawia problem.
Ocena ryzyka
Podatność może pozwolić nieuwierzytelnionemu atakującemu na wyczerpanie zasobów aplikacji korzystającej z Proton-J, co prowadzi do niedostępności usług.
Rekomendacja
Zaktualizuj Apache Qpid Proton-J do wersji 0.35.0 lub nowszej, która zawiera poprawkę.
Inne podatności w Apache Qpid Proton-J
Zobacz wszystkie- CVE-2026-66277Średnie
W Apache Qpid Proton-J do wersji 0.34.1 nie było możliwości kontrolowania maksymalnej liczby ramek transferu na przychodzącą dostawę, co umożliwia uwierzytelnionemu atakującemu wywołanie nadmiernego użycia zasobów i potencjalną odmowę usługi. Problem został naprawiony w wersji 0.35.0.
- CVE-2026-66276Średnie
Uwierzytelniony atakujący może wysłać ramkę dyspozycji z dużymi lub nieprawidłowymi zakresami, powodując nadmierne zużycie CPU z powodu naiwnego przetwarzania zakresów, co prowadzi do odmowy usługi. Problem dotyczy Apache Qpid Proton-J do wersji 0.34.1 włącznie.
- CVE-2026-66275Średnie
Uwierzytelniony atakujący może przekroczyć przychodzące okno kontroli przepływu sesji, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Proton-J do wersji 0.34.1 włącznie. Zalecane jest uaktualnienie do wersji 0.35.0, która naprawia ten problem.
- CVE-2026-66274Wysokie
Atakujący przed autoryzacją może wykorzystać zagnieżdżanie typów, aby spowodować StackOverflowError, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Proton-J do wersji 0.34.1.
- CVE-2026-66257Wysokie
Atakujący przed uwierzytelnieniem może wykorzystać nieograniczone buforowanie wartości symboli, aby spowodować wyczerpanie zasobów, co prowadzi do odmowy usługi. Problem dotyczy Apache Qpid Proton-J do wersji 0.34.1 włącznie. Zalecane jest uaktualnienie do wersji 0.35.0, która naprawia problem.
Oryginalny opis (angielski, źródło NVD)
A pre-authentication attacker could leverage type size/count handling to cause excessive allocation leading to potential denial of service. This issue affects Apache Qpid Proton-J: through 0.34.1. Users are recommended to upgrade to version 0.35.0, which fixes the issue.