CVE-2026-66277
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W Apache Qpid Proton-J do wersji 0.34.1 nie było możliwości kontrolowania maksymalnej liczby ramek transferu na przychodzącą dostawę, co umożliwia uwierzytelnionemu atakującemu wywołanie nadmiernego użycia zasobów i potencjalną odmowę usługi. Problem został naprawiony w wersji 0.35.0.
Ocena ryzyka
Ryzyko przeciążenia zasobów i przerwania działania usługi (DoS) przez uwierzytelnionego użytkownika, co może wpłynąć na dostępność systemu.
Rekomendacja
Zaleca się aktualizację Apache Qpid Proton-J do wersji 0.35.0 lub nowszej, która zawiera poprawkę.
Inne podatności w Apache Qpid Proton-J
Zobacz wszystkie- CVE-2026-66276Średnie
Uwierzytelniony atakujący może wysłać ramkę dyspozycji z dużymi lub nieprawidłowymi zakresami, powodując nadmierne zużycie CPU z powodu naiwnego przetwarzania zakresów, co prowadzi do odmowy usługi. Problem dotyczy Apache Qpid Proton-J do wersji 0.34.1 włącznie.
- CVE-2026-66275Średnie
Uwierzytelniony atakujący może przekroczyć przychodzące okno kontroli przepływu sesji, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Proton-J do wersji 0.34.1 włącznie. Zalecane jest uaktualnienie do wersji 0.35.0, która naprawia ten problem.
- CVE-2026-66274Wysokie
Atakujący przed autoryzacją może wykorzystać zagnieżdżanie typów, aby spowodować StackOverflowError, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Proton-J do wersji 0.34.1.
- CVE-2026-66273Wysokie
Atakujący przed uwierzytelnieniem może wykorzystać obsługę rozmiaru/liczby typów, aby spowodować nadmierną alokację, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Proton-J do wersji 0.34.1 włącznie. Zalecane jest uaktualnienie do wersji 0.35.0, która naprawia problem.
- CVE-2026-66257Wysokie
Atakujący przed uwierzytelnieniem może wykorzystać nieograniczone buforowanie wartości symboli, aby spowodować wyczerpanie zasobów, co prowadzi do odmowy usługi. Problem dotyczy Apache Qpid Proton-J do wersji 0.34.1 włącznie. Zalecane jest uaktualnienie do wersji 0.35.0, która naprawia problem.
Oryginalny opis (angielski, źródło NVD)
It was not possible to govern the maximum number of transfer frames per incoming delivery, enabling an authenticated attacker to cause excessive resource usage and potential denial of service. This issue affects Apache Qpid Proton-J: through 0.34.1. Users are recommended to upgrade to version 0.35.0, which fixes the issue.