Podatności Undertow

Biblioteka Undertow używana w WildFly, JBoss EAP i innych aplikacjach Java nie waliduje poprawnie nagłówka Host w żądaniach HTTP, co pozwala na przetwarzanie złośliwych nagłówków.

W Undertow znaleziono podatność, która wpływa na serwer obsługujący protokół wildfly-http-client. Gdy złośliwy użytkownik otwiera i zamyka połączenie z portem HTTP serwera, a następnie natychmiast je zamyka, serwer może wyczerpać pamięć i limity otwartych plików. Podczas aktualizacji HTTP do remoting, WriteTimeoutStreamSinkConduit wycieka połączenia, jeśli RemotingConnection jest zamknięty przez Remoting ServerConnectionOpenListener, co prowadzi do wycieku całego drzewa zależności.

Undertow to elastyczny, wydajny serwer WWW używany w JBoss EAP i WildFly. Znaleziono błąd w sposobie obsługi połączeń WebSocket. Konkretnie, niektóre limity konfiguracyjne, takie jak rozmiary buforów wiadomości i limity czasu sesji, nie mogą być dostosowane i domyślnie są nieograniczone. Pozwala to zdalnemu atakującemu na wysyłanie dużych ilości danych lub utrzymywanie połączeń w nieskończoność, co może doprowadzić do awarii serwera poprzez wyczerpanie pamięci lub innych zasobów.

W Undertow wykryto błąd, który zdalny atakujący może wykorzystać, wysyłając specjalnie spreparowane wiadomości WebSocket z negocjacją permessage-deflate. Prowadzi to do nadmiernego zużycia pamięci przez metodę PerMessageDeflateFunction.largerBuffer(), która stosuje podwajanie wykładnicze, co skutkuje odmową usługi (DoS) dla aplikacji.

Wada w Undertow, serwerze HTTP, w ścieżce zapisu nagłówków odpowiedzi. Metoda writeString() wykonuje ciche zawężenie z 16-bitowych znaków Unicode do 8-bitowych bajtów podczas zapisu wartości nagłówków odpowiedzi. Zdalny atakujący może wykorzystać to, dostarczając specjalne znaki Unicode w danych kontrolowanych przez użytkownika, które aplikacja umieszcza w nagłówkach odpowiedzi, co prowadzi do obcięcia znaków do kontrolnych lub specjalnych symboli ASCII, potencjalnie powodując ograniczony wpływ na integralność lub ujawnienie informacji.

W komponencie ChunkReader serwera HTTP Undertow, używanego przez WildFly i JBoss EAP do obsługi kodowania transferu fragmentarycznego, znaleziono podatność. Parser używa jednej zmiennej wewnętrznej do przechowywania zarówno pozostałego rozmiaru fragmentu, jak i flag stanu. Wysyłając specjalnie spreparowane żądanie z bardzo dużym rozmiarem fragmentu, atakujący może spowodować nakładanie się tych wartości, co prowadzi do przedwczesnego zakończenia żądania i umożliwia przemycenie drugiego żądania, potencjalnie omijając kontrolę bezpieczeństwa.

W Undertow stwierdzono wadę polegającą na możliwości wywołania błędu Out of Memory przez zdalnego atakującego na punktach końcowych WebSocket bez uwierzytelnienia. Dotyczy to każdej klasy @ServerEndpoint, która ma metodę @OnMessage. Atakujący może przeprowadzić atak DoS bez uwierzytelnienia, używając tylko standardowego uzgadniania WebSocket.

Listener AJP w Undertow honoruje sfałszowane atrybuty ssl_cert i is_ssl bez wymagania uwierzytelniania wspólnym sekretem. Umożliwia to nieuwierzytelnionemu atakującemu z bezpośrednim dostępem TCP do portu 8009 ominięcie uwierzytelniania CLIENT-CERT poprzez wstrzyknięcie sfałszowanego certyfikatu X.509 przez protokół AJP.

W Undertow, gdy pierwszy wiersz nagłówka żądania HTTP zaczyna się od jednej lub więcej spacji, serwer usuwa te spacje, co narusza standardy HTTP. Zdalny atakujący może wykorzystać to do przemycania żądań (request smuggling).

W Undertow wykryto podatność umożliwiającą atak zdalnemu atakującemu na skonstruowanie specjalnie spreparowanych żądań, w których nazwy nagłówków są parsowane inaczej przez Undertow niż przez proxy znajdujące się przed nim. Ta rozbieżność w interpretacji nagłówków może zostać wykorzystana do przeprowadzenia ataku typu request smuggling.

W Undertow wykryto podatność umożliwiającą przemycanie żądań HTTP. Atakujący może wysłać sekwencję `\r\r\r` jako terminator bloku nagłówka, co prowadzi do błędnej interpretacji granic żądań przez niektóre serwery proxy.

Podatność CVE-2026-3260 została odrzucona, ponieważ Undertow domyślnie ogranicza rozmiar encji żądania HTTP. Każde żądanie (w tym GET lub HEAD) z ciałem przekraczającym limit jest bezpiecznie odrzucane, co zapobiega atakom DoS polegającym na wyczerpaniu pamięci.

W produkcie Undertow wykryto usterkę, która powoduje błąd OutOfMemoryError podczas przetwarzania żądań z dużymi nazwami parametrów przez serwlety wywołujące metodę HttpServletRequestImpl.getParameterNames(). Niezautoryzowany użytkownik może zdalnie wykorzystać tę podatność do przeprowadzenia ataku typu DoS.

W Undertow wykryto usterkę, która może powodować zdalne ataki typu odmowa usługi (DoS). Gdy serwer używa metody FormEncodedDataDefinition.doParse(StreamSourceChannel) do parsowania dużych danych zakodowanych jako application/x-www-form-urlencoded, metoda powoduje wyczerpanie pamięci (OutOfMemory).

Serwer Undertow nieprawidłowo obsługuje zniekształcone żądania klienta, które powodują resetowanie strumieni po stronie serwera bez wyzwalania liczników nadużyć. Atak „MadeYouReset” pozwala złośliwym klientom na przeciążenie serwera poprzez wielokrotne przerywanie strumieni, prowadząc do odmowy usługi (DoS).

W Undertow znaleziono podatność, w której ProxyProtocolReadListener ponownie używa tego samego wystąpienia StringBuilder w wielu żądaniach. Dzieje się tak, gdy metoda parseProxyProtocolV1 przetwarza wiele żądań na tym samym połączeniu HTTP. W rezultacie różne żądania mogą współdzielić to samo wystąpienie StringBuilder, co może prowadzić do wycieku informacji między żądaniami lub odpowiedziami. W niektórych przypadkach wartość z poprzedniego żądania może zostać błędnie użyta, co prowadzi do nieautoryzowanego ujawnienia danych.

Podatność w Undertow wymaga włączenia handlera learning-push w konfiguracji serwera, co domyślnie nie jest aktywne. Przy domyślnej wartości maxAge równej -1 handler jest podatny na atak, ale jeśli ktoś nadpisze tę konfigurację, serwer nie jest zagrożony. Atakujący musi być w stanie wysłać zwykłe żądanie HTTP do serwera.

Podatność typu path traversal w Undertow może pozwolić zdalnemu atakującemu na dołączenie specjalnie spreparowanej sekwencji do żądania HTTP dla aplikacji wdrożonej na JBoss EAP, co może umożliwić dostęp do uprzywilejowanych lub ograniczonych plików i katalogów.

W Undertow stwierdzono błąd polegający na tym, że gdy żądanie AJP przekracza atrybut max-header-size w ajp-listener, JBoss EAP jest oznaczany jako w stanie błędu przez mod_cluster w httpd, co powoduje zamknięcie połączenia TCP bez zwrócenia odpowiedzi AJP. Może to pozwolić złośliwemu użytkownikowi na wielokrotne wysyłanie żądań przekraczających max-header-size, powodując odmowę usługi (DoS).