CVE-2026-68075
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Uwierzytelniony atakujący może przekroczyć przychodzące okno kontroli przepływu sesji, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Broker-J do wersji 10.0.1 włącznie.
Ocena ryzyka
Atakujący może spowodować przeciążenie sesji, co może doprowadzić do niedostępności usługi.
Rekomendacja
Zaleca się aktualizację do wersji 10.1.0, która naprawia ten problem.
Inne podatności w Apache Qpid Broker-J
Zobacz wszystkie- CVE-2017-15701Wysokie
W wersjach 6.1.0 do 6.1.4 (włącznie) Apache Qpid Broker-J broker nie wymusza prawidłowo maksymalnego rozmiaru ramki w ramach AMQP 1.0. Zdalny, nieautoryzowany atakujący może wykorzystać tę lukę, aby spowodować wyczerpanie dostępnej pamięci i ostatecznie zakończenie działania brokera.
- CVE-2017-15702Krytyczne
W Apache Qpid Broker-J w wersjach od 0.18 do 0.32, zła konfiguracja portów z różnymi dostawcami uwierzytelniania może umożliwić zdalnemu atakującemu, który łączy się z portem HTTP, oszukanie brokera w celu użycia dostawcy uwierzytelniania z innego portu. Atakujący musi posiadać ważne dane uwierzytelniające dla dostawcy na oszukanym porcie.
- CVE-2026-68080Średnie
W Apache Qpid Broker-J do wersji 10.0.1 nie było możliwości kontrolowania tempa odpowiedzi brokera na przepływ echo, co umożliwia uwierzytelnionemu atakującemu wywołanie nadmiernego użycia zasobów i potencjalną odmowę usługi. Problem został naprawiony w wersji 10.1.0.
- CVE-2026-68078Średnie
W Apache Qpid Broker-J do wersji 10.0.1 nie było możliwe ograniczenie maksymalnej liczby ramek transferowych na przychodzącą dostawę, co umożliwia uwierzytelnionemu atakującemu nadmierne zużycie zasobów i potencjalną odmowę usługi.
- CVE-2026-68077Średnie
Uwierzytelniony atakujący może wysłać ramkę dyspozycji z dużymi lub nieprawidłowymi zakresami, powodując nadmierne zużycie CPU z powodu naiwnego przetwarzania zakresów, co prowadzi do odmowy usługi. Problem dotyczy Apache Qpid Broker-J do wersji 10.0.1 włącznie.
- CVE-2026-68073Wysokie
Atakujący przed uwierzytelnieniem może wykorzystać zagnieżdżanie typów, aby spowodować StackOverflowError, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Broker-J do wersji 10.0.1 włącznie. Zalecane jest uaktualnienie do wersji 10.1.0, która naprawia problem.
- CVE-2026-68074Wysokie
Atakujący przed autoryzacją może wykorzystać nieograniczone buforowanie wartości symboli, aby spowodować wyczerpanie zasobów, co prowadzi do odmowy usługi. Problem dotyczy Apache Qpid Broker-J do wersji 10.0.1.
- CVE-2026-68060Wysokie
Atakujący przed uwierzytelnieniem może wykorzystać obsługę rozmiaru/liczby typów, aby spowodować nadmierną alokację, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Broker-J do wersji 10.0.1 włącznie. Zalecane jest uaktualnienie do wersji 10.1.0, która naprawia problem.
Oryginalny opis (angielski, źródło NVD)
An authenticated attacker could exceed the session flow control incoming window potentially leading to denial of service. This issue affects Apache Qpid Broker-J: through 10.0.1. Users are recommended to upgrade to version 10.1.0, which fixes the issue.