CVE-2026-66276
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Uwierzytelniony atakujący może wysłać ramkę dyspozycji z dużymi lub nieprawidłowymi zakresami, powodując nadmierne zużycie CPU z powodu naiwnego przetwarzania zakresów, co prowadzi do odmowy usługi. Problem dotyczy Apache Qpid Proton-J do wersji 0.34.1 włącznie.
Ocena ryzyka
Atakujący może przeciążyć serwer, powodując niedostępność usługi dla innych użytkowników.
Rekomendacja
Zaleca się aktualizację do wersji 0.35.0, która naprawia ten problem.
Inne podatności w Apache Qpid Proton-J
Zobacz wszystkie- CVE-2026-66277Średnie
W Apache Qpid Proton-J do wersji 0.34.1 nie było możliwości kontrolowania maksymalnej liczby ramek transferu na przychodzącą dostawę, co umożliwia uwierzytelnionemu atakującemu wywołanie nadmiernego użycia zasobów i potencjalną odmowę usługi. Problem został naprawiony w wersji 0.35.0.
- CVE-2026-66275Średnie
Uwierzytelniony atakujący może przekroczyć przychodzące okno kontroli przepływu sesji, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Proton-J do wersji 0.34.1 włącznie. Zalecane jest uaktualnienie do wersji 0.35.0, która naprawia ten problem.
- CVE-2026-66274Wysokie
Atakujący przed autoryzacją może wykorzystać zagnieżdżanie typów, aby spowodować StackOverflowError, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Proton-J do wersji 0.34.1.
- CVE-2026-66273Wysokie
Atakujący przed uwierzytelnieniem może wykorzystać obsługę rozmiaru/liczby typów, aby spowodować nadmierną alokację, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Proton-J do wersji 0.34.1 włącznie. Zalecane jest uaktualnienie do wersji 0.35.0, która naprawia problem.
- CVE-2026-66257Wysokie
Atakujący przed uwierzytelnieniem może wykorzystać nieograniczone buforowanie wartości symboli, aby spowodować wyczerpanie zasobów, co prowadzi do odmowy usługi. Problem dotyczy Apache Qpid Proton-J do wersji 0.34.1 włącznie. Zalecane jest uaktualnienie do wersji 0.35.0, która naprawia problem.
Oryginalny opis (angielski, źródło NVD)
An authenticated attacker can craft a disposition frame with large or illegal ranges causing excessive CPU usage due to naive range handling, leading to denial of service. This issue affects Apache Qpid Proton-J: through 0.34.1. Users are recommended to upgrade to version 0.35.0, which fixes the issue.