CVE-2026-91863
WysokieCVSS 7.5Streszczenie
Specjalnie spreparowany dokument WS-Policy z głęboko zagnieżdżonymi elementami polityki może obejść limit głębokości zagnieżdżenia w Neethi i wyczerpać stos wątku, powodując awarię parsera (odmowa usługi). Zaleca się aktualizację do wersji 3.2.4.
Ocena ryzyka
Atakujący może doprowadzić do awarii parsera i niedostępności usługi przetwarzającej polityki WS-Policy. Może to zakłócić działanie aplikacji korzystających z Neethi.
Rekomendacja
Zaktualizuj bibliotekę Neethi do wersji 3.2.4 lub nowszej. Do czasu aktualizacji rozważ ograniczenie przyjmowania niezaufanych dokumentów WS-Policy.
Inne podatności w Neethi
Zobacz wszystkie- CVE-2026-91867Średnie
Neethi podczas pobierania zdalnej referencji polityki ogranicza tylko czas pojedynczego odczytu, a nie całego transferu. Serwer wysyłający dane bardzo powoli może utrzymywać połączenie w nieskończoność i blokować wątek wywołujący, powodując odmowę usługi (DoS).
- CVE-2026-91866Wysokie
Specjalnie spreparowana para dokumentów WS-Policy może wymusić na mechanizmie policy-intersection w Neethi wykonanie wykładniczej liczby operacji, obciążając CPU przez długi czas (odmowa usługi). Zaleca się aktualizację do wersji 3.2.4, która naprawia ten problem.
- CVE-2026-91865Wysokie
Mały dokument WS-Policy wykorzystujący powtarzające się odwołania do polityk może wymusić na Neethi wykładnicze wielokrotne rozwijanie tych samych odwołań podczas normalizacji, zużywając ogromne ilości CPU i pamięci (odmowa usługi). Zaleca się aktualizację do wersji 3.2.4.
- CVE-2026-91864Wysokie
Specjalnie spreparowany dokument WS-Policy może umieścić nieograniczoną ilość treści wewnątrz asercji polityki, którą Neethi kopiuje do pamięci bez uwzględnienia jej w limitach rozmiaru, wyczerpując stertę (odmowa usługi). Zaleca się aktualizację do wersji 3.2.4.
Oryginalny opis (angielski, źródło NVD)
A specially crafted WS-Policy document with deeply nested policy elements can bypass Neethi's nesting-depth limit and exhaust the thread stack, crashing the parser (denial of service). Users are recommended to upgrade to version 3.2.4, which fixes this issue.