Undertow: undertow: ヘッダーブロックターミネーターとしての`\r\r\r`を介したリクエストスマグリング

Red Hat Build of Apache Camel for Spring Boot 4において、重大な脆弱性（CVE-2026-28367）が発見されました。これはUndertowコンポーネントに影響を与えます。この脆弱性を悪用すると、リモート攻撃者が\r\r\rをヘッダーブロックターミネーターとして送信することでシステムを攻撃できます。これにより、古いバージョンのApache Traffic ServerやGoogle Cloud Classic Application Load Balancerなどの特定のプロキシサーバーとの組み合わせで、「リクエストスモグリング」攻撃を容易にすることができます。攻撃が成功すると、機密データへの不正アクセス、Webリクエストの操作、そしてサーバー上での悪意のあるコードの実行につながる可能性があります。

Organizations using Apache Undertow as a servlet container, particularly those deploying it behind proxy servers like Apache Traffic Server or Google Cloud Classic Application Load Balancer, are at significant risk. Legacy systems running older versions of Undertow and those with misconfigured proxy servers are especially vulnerable. Shared hosting environments where multiple users share the same Undertow instance should also be prioritized for remediation.

• linux / server:

journalctl -u undertow -g "header block terminator"

• generic web:

curl -I 'http://your-undertow-server/path' -H 'Header: Malicious\r\r\rValue' | grep -i 'HTTP/1.1 200 OK'

• linux / server:

lsof -i :8080 | grep undertow

1. 2026-03-27Disclosure

   disclosure

2. 2026-03-27Patch

   patch

1. 予約済み2026-02-27
2. 公開日2026-03-27
3. 更新日2026-04-10
4. EPSS 更新日2026-04-04

推奨される解決策は、Red Hat Build of Apache Camel for Spring Boot 4をバージョン2.5.4以降にアップグレードすることです。このアップデートには、ヘッダーブロックターミネーターを正しく処理することで脆弱性を軽減する修正が含まれています。その間、一時的な軽減策として、リクエストスモグリング攻撃に脆弱な可能性のあるプロキシサーバーを無効にするか、慎重に構成することをお勧めします。プロキシサーバーの構成を確認し、最新のセキュリティパッチで更新されていることを確認することが重要です。また、サーバーログをリクエストスモグリング活動の疑わしいパターンがないか監視することもお勧めします。