В Undertow был обнаружен недостаток. Удаленный злоумышленник может вызвать нехватку памяти на конечной точке веб-сокетов без аутентификации в любом классе @ServerEndpoint, имеющем какой-либо метод @OnMessage. Это позволяет злоумышленнику вызвать атаку типа «отказ в обслуживании» без аутентификации и с использованием только стандартного подтверждения WebSocket.
Показать оригинальное описание (EN)
A flaw was found in Undertow. A remote attacker can cause Out of Memory on websockets endpoint without authentication on any @ServerEndpoint class that has any @OnMessage method. This allows an attacker to cause Denial of Service attack without authentication and using only a standard WebSocket handshake.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты
red hat:red hat single sign-on 7
red hat:red hat jboss enterprise application platform expansion pack
red hat:red hat fuse 7
red hat:red hat build of apache camel for spring boot 4
red hat:red hat data grid 8
red hat:red hat jboss enterprise application platform 7
red hat:red hat jboss enterprise application platform 8