CVE-2026-68077
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Uwierzytelniony atakujący może wysłać ramkę dyspozycji z dużymi lub nieprawidłowymi zakresami, powodując nadmierne zużycie CPU z powodu naiwnego przetwarzania zakresów, co prowadzi do odmowy usługi. Problem dotyczy Apache Qpid Broker-J do wersji 10.0.1 włącznie.
Ocena ryzyka
Atakujący może przeciążyć serwer, powodując niedostępność usługi dla innych użytkowników.
Rekomendacja
Zaleca się aktualizację do wersji 10.1.0, która naprawia ten problem.
Inne podatności w Apache Qpid Broker-J
Zobacz wszystkie- CVE-2017-15701Wysokie
W wersjach 6.1.0 do 6.1.4 (włącznie) Apache Qpid Broker-J broker nie wymusza prawidłowo maksymalnego rozmiaru ramki w ramach AMQP 1.0. Zdalny, nieautoryzowany atakujący może wykorzystać tę lukę, aby spowodować wyczerpanie dostępnej pamięci i ostatecznie zakończenie działania brokera.
- CVE-2017-15702Krytyczne
W Apache Qpid Broker-J w wersjach od 0.18 do 0.32, zła konfiguracja portów z różnymi dostawcami uwierzytelniania może umożliwić zdalnemu atakującemu, który łączy się z portem HTTP, oszukanie brokera w celu użycia dostawcy uwierzytelniania z innego portu. Atakujący musi posiadać ważne dane uwierzytelniające dla dostawcy na oszukanym porcie.
- CVE-2026-68080Średnie
W Apache Qpid Broker-J do wersji 10.0.1 nie było możliwości kontrolowania tempa odpowiedzi brokera na przepływ echo, co umożliwia uwierzytelnionemu atakującemu wywołanie nadmiernego użycia zasobów i potencjalną odmowę usługi. Problem został naprawiony w wersji 10.1.0.
- CVE-2026-68078Średnie
W Apache Qpid Broker-J do wersji 10.0.1 nie było możliwe ograniczenie maksymalnej liczby ramek transferowych na przychodzącą dostawę, co umożliwia uwierzytelnionemu atakującemu nadmierne zużycie zasobów i potencjalną odmowę usługi.
- CVE-2026-68075Średnie
Uwierzytelniony atakujący może przekroczyć przychodzące okno kontroli przepływu sesji, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Broker-J do wersji 10.0.1 włącznie.
- CVE-2026-68073Wysokie
Atakujący przed uwierzytelnieniem może wykorzystać zagnieżdżanie typów, aby spowodować StackOverflowError, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Broker-J do wersji 10.0.1 włącznie. Zalecane jest uaktualnienie do wersji 10.1.0, która naprawia problem.
- CVE-2026-68074Wysokie
Atakujący przed autoryzacją może wykorzystać nieograniczone buforowanie wartości symboli, aby spowodować wyczerpanie zasobów, co prowadzi do odmowy usługi. Problem dotyczy Apache Qpid Broker-J do wersji 10.0.1.
- CVE-2026-68060Wysokie
Atakujący przed uwierzytelnieniem może wykorzystać obsługę rozmiaru/liczby typów, aby spowodować nadmierną alokację, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Broker-J do wersji 10.0.1 włącznie. Zalecane jest uaktualnienie do wersji 10.1.0, która naprawia problem.
Oryginalny opis (angielski, źródło NVD)
An authenticated attacker can craft a disposition frame with large or illegal ranges causing excessive CPU usage due to naive range handling, leading to denial of service. This issue affects Apache Qpid Broker-J: through 10.0.1. Users are recommended to upgrade to version 10.1.0, which fixes the issue.