CVE-2026-68078
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W Apache Qpid Broker-J do wersji 10.0.1 nie było możliwe ograniczenie maksymalnej liczby ramek transferowych na przychodzącą dostawę, co umożliwia uwierzytelnionemu atakującemu nadmierne zużycie zasobów i potencjalną odmowę usługi.
Ocena ryzyka
Uwierzytelniony atakujący może przeciążyć broker, powodując niedostępność usługi dla innych użytkowników.
Rekomendacja
Zaktualizuj Apache Qpid Broker-J do wersji 10.1.0 lub nowszej.
Inne podatności w Apache Qpid Broker-J
Zobacz wszystkie- CVE-2017-15701Wysokie
W wersjach 6.1.0 do 6.1.4 (włącznie) Apache Qpid Broker-J broker nie wymusza prawidłowo maksymalnego rozmiaru ramki w ramach AMQP 1.0. Zdalny, nieautoryzowany atakujący może wykorzystać tę lukę, aby spowodować wyczerpanie dostępnej pamięci i ostatecznie zakończenie działania brokera.
- CVE-2017-15702Krytyczne
W Apache Qpid Broker-J w wersjach od 0.18 do 0.32, zła konfiguracja portów z różnymi dostawcami uwierzytelniania może umożliwić zdalnemu atakującemu, który łączy się z portem HTTP, oszukanie brokera w celu użycia dostawcy uwierzytelniania z innego portu. Atakujący musi posiadać ważne dane uwierzytelniające dla dostawcy na oszukanym porcie.
- CVE-2026-68080Średnie
W Apache Qpid Broker-J do wersji 10.0.1 nie było możliwości kontrolowania tempa odpowiedzi brokera na przepływ echo, co umożliwia uwierzytelnionemu atakującemu wywołanie nadmiernego użycia zasobów i potencjalną odmowę usługi. Problem został naprawiony w wersji 10.1.0.
- CVE-2026-68077Średnie
Uwierzytelniony atakujący może wysłać ramkę dyspozycji z dużymi lub nieprawidłowymi zakresami, powodując nadmierne zużycie CPU z powodu naiwnego przetwarzania zakresów, co prowadzi do odmowy usługi. Problem dotyczy Apache Qpid Broker-J do wersji 10.0.1 włącznie.
- CVE-2026-68075Średnie
Uwierzytelniony atakujący może przekroczyć przychodzące okno kontroli przepływu sesji, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Broker-J do wersji 10.0.1 włącznie.
- CVE-2026-68073Wysokie
Atakujący przed uwierzytelnieniem może wykorzystać zagnieżdżanie typów, aby spowodować StackOverflowError, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Broker-J do wersji 10.0.1 włącznie. Zalecane jest uaktualnienie do wersji 10.1.0, która naprawia problem.
- CVE-2026-68074Wysokie
Atakujący przed autoryzacją może wykorzystać nieograniczone buforowanie wartości symboli, aby spowodować wyczerpanie zasobów, co prowadzi do odmowy usługi. Problem dotyczy Apache Qpid Broker-J do wersji 10.0.1.
- CVE-2026-68060Wysokie
Atakujący przed uwierzytelnieniem może wykorzystać obsługę rozmiaru/liczby typów, aby spowodować nadmierną alokację, co może prowadzić do odmowy usługi. Problem dotyczy Apache Qpid Broker-J do wersji 10.0.1 włącznie. Zalecane jest uaktualnienie do wersji 10.1.0, która naprawia problem.
Oryginalny opis (angielski, źródło NVD)
It was not possible to govern the maximum number of transfer frames per incoming delivery, enabling an authenticated attacker to cause excessive resource usage and potential denial of service. This issue affects Apache Qpid Broker-J: through 10.0.1. Users are recommended to upgrade to version 10.1.0, which fixes the issue.