CVE-2026-91865
WysokieCVSS 7.5Streszczenie
Mały dokument WS-Policy wykorzystujący powtarzające się odwołania do polityk może wymusić na Neethi wykładnicze wielokrotne rozwijanie tych samych odwołań podczas normalizacji, zużywając ogromne ilości CPU i pamięci (odmowa usługi). Zaleca się aktualizację do wersji 3.2.4.
Ocena ryzyka
Atakujący może doprowadzić do wyczerpania CPU i pamięci, powodując niedostępność usługi przetwarzającej polityki WS-Policy. Może to zakłócić działanie aplikacji korzystających z Neethi.
Rekomendacja
Zaktualizuj bibliotekę Neethi do wersji 3.2.4 lub nowszej. Do czasu aktualizacji rozważ ograniczenie przyjmowania niezaufanych dokumentów WS-Policy.
Inne podatności w Neethi
Zobacz wszystkie- CVE-2026-91867Średnie
Neethi podczas pobierania zdalnej referencji polityki ogranicza tylko czas pojedynczego odczytu, a nie całego transferu. Serwer wysyłający dane bardzo powoli może utrzymywać połączenie w nieskończoność i blokować wątek wywołujący, powodując odmowę usługi (DoS).
- CVE-2026-91866Wysokie
Specjalnie spreparowana para dokumentów WS-Policy może wymusić na mechanizmie policy-intersection w Neethi wykonanie wykładniczej liczby operacji, obciążając CPU przez długi czas (odmowa usługi). Zaleca się aktualizację do wersji 3.2.4, która naprawia ten problem.
- CVE-2026-91864Wysokie
Specjalnie spreparowany dokument WS-Policy może umieścić nieograniczoną ilość treści wewnątrz asercji polityki, którą Neethi kopiuje do pamięci bez uwzględnienia jej w limitach rozmiaru, wyczerpując stertę (odmowa usługi). Zaleca się aktualizację do wersji 3.2.4.
- CVE-2026-91863Wysokie
Specjalnie spreparowany dokument WS-Policy z głęboko zagnieżdżonymi elementami polityki może obejść limit głębokości zagnieżdżenia w Neethi i wyczerpać stos wątku, powodując awarię parsera (odmowa usługi). Zaleca się aktualizację do wersji 3.2.4.
Oryginalny opis (angielski, źródło NVD)
A small WS-Policy document using repeated policy references can force Neethi to re-expand the same references exponentially during normalization, consuming huge amounts of CPU and memory (denial of service). Users are recommended to upgrade to version 3.2.4, which fixes this issue.