Platform
java
Component
undertow
Opgelost in
1.10.0
2.5.4
CVE-2026-28369 is een kwetsbaarheid in Undertow waardoor een aanvaller request smuggling kan uitvoeren. Door het verkeerd verwerken van HTTP headers met voorloopspaties, kan een aanvaller beveiligingsmechanismen omzeilen en toegang krijgen tot gevoelige informatie. Dit kan leiden tot ongeautoriseerde acties of datalekken. De kwetsbaarheid bevindt zich in Undertow. Er is momenteel geen officiële patch beschikbaar.
Een beveiligingslek (CVE-2026-28369) is geïdentificeerd in de Red Hat-build van Apache Camel voor Spring Boot 4, specifiek gerelateerd aan de Undertow-server. Dit lek, met een CVSS-score van 8.7, stelt een externe aanvaller in staat om een fout in de verwerking van HTTP-headers uit te buiten. Wanneer Undertow een HTTP-verzoek ontvangt waarbij de eerste header-regel begint met één of meer spaties, verwerkt het het verzoek onjuist door deze leidende spaties te verwijderen. Dit gedrag, dat in strijd is met HTTP-standaarden, kan door een externe aanvaller worden uitgebuit om request smuggling uit te voeren. Request smuggling stelt een aanvaller in staat beveiligingsmechanismen te omzeilen, toegang te krijgen tot beperkte informatie of webcaches te manipuleren, wat mogelijk kan leiden tot ongeautoriseerde acties of gegevensblootstelling.
De 'request smuggling'-aanval maakt gebruik van discrepanties in de manier waarop front-end- en back-end HTTP-servers verzoekheaders interpreteren. In dit geval creëert de onjuiste verwijdering van leidende spaties in de headers door Undertow een mismatch in de interpretatie van het verzoek tussen servers. Een aanvaller kan een zorgvuldig ontworpen verzoek maken dat anders wordt geïnterpreteerd door elke server, waardoor ze extra verzoeken kunnen smokkelen die verborgen zijn in het oorspronkelijke verzoek. Dit kan toegang tot beschermde bronnen mogelijk maken of de uitvoering van ongeautoriseerde acties.
Organizations using Undertow as a servlet container in their Java-based web applications are at risk. This includes deployments where Undertow is behind a reverse proxy or load balancer, as the vulnerability can be exploited through these intermediary components. Legacy systems running older, unpatched versions of Undertow are particularly vulnerable.
• java / server:
# Check Undertow version
java -version
# Monitor logs for unusual HTTP request patterns, especially those with leading spaces in headers.
# Use a security scanner to identify potential request smuggling vulnerabilities.• generic web:
# Use curl to send a crafted HTTP request with leading spaces in the header and observe the response.
curl -H ' Content-Type: application/json' http://your-undertow-server/your-endpointdisclosure
Exploit Status
EPSS
0.15% (35% percentiel)
CISA SSVC
CVSS-vector
De belangrijkste mitigatie voor dit lek is het upgraden naar versie 2.5.4 of hoger van Apache Camel voor Spring Boot. Deze versie bevat een correctie die de onjuiste verwerking van leidende spaties in HTTP-headers aanpakt. Het wordt aanbevolen om deze update zo snel mogelijk toe te passen om uw systemen te beschermen. Controleer bovendien uw Undertow-configuraties om ervoor te zorgen dat best practices voor beveiliging worden toegepast. Het monitoren van de Undertow-serverlogboeken op ongebruikelijke HTTP-verzoekpatronen kan ook helpen bij het detecteren van exploitatiepogingen. Als een onmiddellijke upgrade niet mogelijk is, overweeg dan het implementeren van firewallregels of reverse proxies om verzoeken met leidende spaties in headers te blokkeren.
Actualice Undertow a la versión 2.5.4 o superior para mitigar la vulnerabilidad. Esta actualización corrige el manejo incorrecto de encabezados HTTP que pueden permitir el 'request smuggling'. Consulte la documentación oficial de Red Hat para obtener instrucciones específicas de actualización para los productos afectados.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Het is een techniek waarbij een aanvaller HTTP-verzoeken manipuleert om beveiligingsmechanismen te omzeilen en toegang te krijgen tot ongeautoriseerde bronnen.
Het geeft een hoog ernstniveau aan, wat betekent dat het lek gemakkelijk te exploiteren is en aanzienlijke gevolgen kan hebben.
Implementeer firewallregels of reverse proxies om verzoeken met leidende spaties in headers te blokkeren.
Raadpleeg de release notes voor Apache Camel voor Spring Boot 2.5.4 en bronnen met betrekking tot CVE-2026-28369.
Nee, het betreft alleen versies die Undertow gebruiken en kwetsbaar zijn voor dit specifieke gedrag.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je pom.xml-bestand en we vertellen je direct of je getroffen bent.