Undertow: undertow: 不正な HTTP リクエストヘッダーによるリクエストスマグリング

Red HatのApache Camel for Spring Boot 4のビルドにおいて、セキュリティ上の脆弱性（CVE-2026-28369）が特定されました。これは、特にUndertowサーバーに関連するものです。CVSSスコア8.7で評価されるこの脆弱性により、リモート攻撃者はHTTPヘッダー処理の欠陥を利用できるようになります。Undertowが、最初のヘッダー行が1つ以上のスペースで始まるHTTPリクエストを受信した場合、これらの先頭のスペースを誤って削除してリクエストを処理します。この動作はHTTP標準に違反しており、リモート攻撃者によってリクエストスモグリングを実行するために悪用される可能性があります。リクエストスモグリングにより、攻撃者はセキュリティメカニズムを回避したり、制限された情報にアクセスしたり、Webキャッシュを操作したりして、不正なアクションやデータ漏洩につながる可能性があります。

Organizations using Undertow as a servlet container in their Java-based web applications are at risk. This includes deployments where Undertow is behind a reverse proxy or load balancer, as the vulnerability can be exploited through these intermediary components. Legacy systems running older, unpatched versions of Undertow are particularly vulnerable.

• java / server:

# Check Undertow version
java -version
# Monitor logs for unusual HTTP request patterns, especially those with leading spaces in headers.
# Use a security scanner to identify potential request smuggling vulnerabilities.

• generic web:

# Use curl to send a crafted HTTP request with leading spaces in the header and observe the response.
curl -H '  Content-Type: application/json' http://your-undertow-server/your-endpoint

1. 2026-03-27Disclosure

   disclosure

1. 予約済み2026-02-27
2. 公開日2026-03-27
3. 更新日2026-04-08
4. EPSS 更新日2026-04-04

この脆弱性に対する主な軽減策は、Apache Camel for Spring Bootをバージョン2.5.4以降にアップグレードすることです。このバージョンには、HTTPヘッダーの先頭スペースの誤った処理に対処する修正が含まれています。システムを保護するために、できるだけ早くこのアップデートを適用することをお勧めします。さらに、Undertowの構成をレビューして、最適なセキュリティプラクティスが適用されていることを確認してください。Undertowサーバーログを異常なHTTPリクエストパターンについて監視することも、Exploitの試行を検出するのに役立ちます。直ちにアップグレードできない場合は、ファイアウォールルールまたはリバースプロキシを実装して、ヘッダーに先頭のスペースが含まれるリクエストをブロックすることを検討してください。