Plataforma
java
Componente
undertow
Corrigido em
1.10.0
2.5.4
Uma falha foi encontrada no Undertow, permitindo que um atacante remoto construa requisições maliciosas. Essa vulnerabilidade possibilita o request smuggling, onde os nomes dos cabeçalhos são interpretados de forma diferente pelo Undertow em comparação com proxies upstream. Essa discrepância pode ser explorada para contornar controles de segurança e acessar recursos não autorizados. A falha afeta o componente Undertow. No momento, não há correção oficial disponível.
Uma vulnerabilidade crítica (CVE-2026-28368) foi identificada na Red Hat Build do Apache Camel para Spring Boot 4, relacionada ao Undertow. Esta vulnerabilidade permite que um atacante remoto crie solicitações especialmente projetadas onde os nomes dos cabeçalhos são analisados de forma diferente pelo Undertow em comparação com proxies upstream. Essa discrepância na interpretação dos cabeçalhos pode ser explorada para lançar ataques de contrabando de solicitações, potencialmente ignorando controles de segurança e acessando recursos não autorizados. O CVSS foi classificado com uma pontuação de 8,7, indicando um alto risco. A atualização para a versão 2.5.4 é crucial para mitigar este risco.
A vulnerabilidade é explorada criando solicitações HTTP que aproveitam as diferenças na forma como o Undertow e os proxies upstream analisam os nomes dos cabeçalhos. Isso permite que o atacante 'contrabandeie' solicitações HTTP adicionais dentro da solicitação original, levando potencialmente ao acesso a recursos protegidos ou ações não autorizadas. A complexidade da exploração depende da configuração específica da infraestrutura, mas a possibilidade de ignorar os controles de segurança é significativa. A ausência de um KEV (Knowledge Engineering Vector) indica informações limitadas sobre a exploração, mas a gravidade da vulnerabilidade exige ação imediata.
Organizations utilizing Undertow as their web server or servlet container, particularly those deploying applications behind reverse proxies like Apache or Nginx, are at risk. Legacy applications relying on older, vulnerable Undertow versions are especially susceptible. Shared hosting environments where Undertow is used as a common component also present a heightened risk.
• java / server:
# Check Undertow version
java -version
# Monitor logs for unusual header patterns (e.g., multiple Content-Length headers)
grep -i 'content-length' /path/to/undertow.log• generic web:
# Check for unusual HTTP headers in access logs
grep -i 'content-length' /var/log/apache2/access.logdisclosure
Status do Exploit
EPSS
0.11% (percentil 29%)
CISA SSVC
Vetor CVSS
A principal mitigação para esta vulnerabilidade é atualizar para a versão 2.5.4 da Red Hat Build do Apache Camel para Spring Boot 4. Esta versão inclui uma correção que aborda a interpretação inconsistente dos cabeçalhos. Enquanto isso, como medida temporária, revise e fortaleça as configurações de seus proxies upstream para minimizar o impacto potencial de ataques de contrabando de solicitações. Monitorar os logs do servidor em busca de padrões de solicitações suspeitos também é uma boa prática. A atualização é a solução mais eficaz e é fortemente recomendada.
Actualice Undertow a la versión 2.5.4 o superior para mitigar la vulnerabilidad de contrabando de solicitudes. Verifique las notas de la versión de Undertow para obtener instrucciones de actualización específicas para su entorno. Asegúrese de probar exhaustivamente después de la actualización para garantizar la compatibilidad.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
O contrabando de solicitações é um ataque onde um atacante insere solicitações HTTP adicionais dentro de uma solicitação existente, explorando diferenças na forma como diferentes servidores ou proxies interpretam os cabeçalhos.
A versão 2.5.4 contém uma correção específica para esta vulnerabilidade, abordando a interpretação inconsistente dos cabeçalhos e prevenindo ataques de contrabando de solicitações.
Como medida temporária, revise e fortaleça as configurações de seus proxies upstream e monitore os logs do servidor em busca de padrões de solicitações suspeitos.
Uma pontuação CVSS de 8,7 indica um alto nível de gravidade, o que significa que a vulnerabilidade representa um risco de segurança significativo.
Um KEV (Knowledge Engineering Vector) é um documento que fornece informações detalhadas sobre a exploração de uma vulnerabilidade. A ausência de um KEV indica informações limitadas sobre a exploração.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo pom.xml e descubra na hora se você está afetado.