CVE-2026-78594
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Nieprawidłowe obsługiwanie wysoko skompresowanych danych w APM Server może prowadzić do trwałej odmowy usługi. Uwierzytelniony użytkownik z prawem zapisu do treści source map może przechowywać specjalnie spreparowaną, wysoko skompresowaną treść, która podczas późniejszego przetwarzania wyczerpuje pamięć APM Server, powodując zakończenie procesu. Stan powtarza się po każdym restarcie, dopóki treść nie zostanie usunięta.
Ocena ryzyka
Ryzyko trwałego niedostępności APM Server, co może zakłócić monitorowanie wydajności aplikacji i prowadzić do przestojów.
Rekomendacja
Zaktualizuj APM Server do wersji z poprawką i ogranicz uprawnienia zapisu do source map.
Inne podatności w APM Server
Zobacz wszystkie- CVE-2026-115716Średnie
APM Server ma podatność CWE-770 (alokacja zasobów bez limitów) umożliwiającą atak typu denial of service poprzez nadmiernie duże serializowane ładunki danych. Atakujący mogący wysyłać dane OpenTelemetry (OTLP) przez HTTP może spowodować wyczerpanie pamięci i zakończenie działania serwera.
- CVE-2026-115289Średnie
Użycie wielu zasobów z zduplikowanym identyfikatorem (CWE-694) w APM Server może prowadzić do ujawnienia informacji poprzez specjalnie spreparowane żądanie konfiguracji agenta. Uwierzytelniony agent APM może otrzymać centralną konfigurację agenta należącą do innej usługi, dopóki pamięć podręczna konfiguracji nie wygaśnie. Usługa może również działać z ustawieniami centralnej konfiguracji, takimi jak ustawienia próbkowania, przeznaczonymi dla innej usługi.
Oryginalny opis (angielski, źródło NVD)
Improper Handling of Highly Compressed Data (CWE-409) in APM Server can lead to a persistent denial of service via Excessive Allocation (CAPEC-130). An authenticated user with write access to source map content could store specially crafted, highly compressed content that exhausts the memory available to APM Server when it is later processed, terminating the process. The condition recurs on every restart until the stored content is removed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS