CVE-2026-91866
WysokieCVSS 7.5Streszczenie
Specjalnie spreparowana para dokumentów WS-Policy może wymusić na mechanizmie policy-intersection w Neethi wykonanie wykładniczej liczby operacji, obciążając CPU przez długi czas (odmowa usługi). Zaleca się aktualizację do wersji 3.2.4, która naprawia ten problem.
Ocena ryzyka
Atakujący może doprowadzić do wyczerpania zasobów CPU i niedostępności usługi przetwarzającej polityki WS-Policy. Może to sparaliżować aplikacje zależne od Neethi.
Rekomendacja
Zaktualizuj bibliotekę Neethi do wersji 3.2.4 lub nowszej. Do czasu aktualizacji rozważ ograniczenie przyjmowania niezaufanych dokumentów WS-Policy.
Inne podatności w Neethi
Zobacz wszystkie- CVE-2026-91867Średnie
Neethi podczas pobierania zdalnej referencji polityki ogranicza tylko czas pojedynczego odczytu, a nie całego transferu. Serwer wysyłający dane bardzo powoli może utrzymywać połączenie w nieskończoność i blokować wątek wywołujący, powodując odmowę usługi (DoS).
- CVE-2026-91865Wysokie
Mały dokument WS-Policy wykorzystujący powtarzające się odwołania do polityk może wymusić na Neethi wykładnicze wielokrotne rozwijanie tych samych odwołań podczas normalizacji, zużywając ogromne ilości CPU i pamięci (odmowa usługi). Zaleca się aktualizację do wersji 3.2.4.
- CVE-2026-91864Wysokie
Specjalnie spreparowany dokument WS-Policy może umieścić nieograniczoną ilość treści wewnątrz asercji polityki, którą Neethi kopiuje do pamięci bez uwzględnienia jej w limitach rozmiaru, wyczerpując stertę (odmowa usługi). Zaleca się aktualizację do wersji 3.2.4.
- CVE-2026-91863Wysokie
Specjalnie spreparowany dokument WS-Policy z głęboko zagnieżdżonymi elementami polityki może obejść limit głębokości zagnieżdżenia w Neethi i wyczerpać stos wątku, powodując awarię parsera (odmowa usługi). Zaleca się aktualizację do wersji 3.2.4.
Oryginalny opis (angielski, źródło NVD)
A specially crafted pair of WS-Policy documents can force Neethi's policy-intersection to do exponential amounts of work, pinning the CPU for a long time (denial of service). Users are recommended to upgrade to version 3.2.4, which fixes this issue.