Undertow 请求走私漏洞 (CVE-2026-28368): 标头解析差异

在 Red Hat Build of Apache Camel for Spring Boot 4 中发现了一个关键漏洞（CVE-2026-28368），与 Undertow 相关。此漏洞允许远程攻击者构建专门设计的请求，其中 Undertow 对标头名称的解析方式与上游代理不同。这种标头解释上的差异可被利用来发起请求走私攻击，从而可能绕过安全控制并访问未经授权的资源。CVSS 已被评分为 8.7，表明存在高风险。为减轻此风险，必须升级到版本 2.5.4。

Organizations utilizing Undertow as their web server or servlet container, particularly those deploying applications behind reverse proxies like Apache or Nginx, are at risk. Legacy applications relying on older, vulnerable Undertow versions are especially susceptible. Shared hosting environments where Undertow is used as a common component also present a heightened risk.

• java / server:

# Check Undertow version
java -version
# Monitor logs for unusual header patterns (e.g., multiple Content-Length headers)
grep -i 'content-length' /path/to/undertow.log

• generic web:

# Check for unusual HTTP headers in access logs
grep -i 'content-length' /var/log/apache2/access.log

1. 2026-03-27Disclosure

   disclosure

1. 已保留2026-02-27
2. 发布日期2026-03-27
3. 修改日期2026-04-08
4. EPSS 更新日期2026-04-04

此漏洞的主要缓解措施是将 Red Hat Build of Apache Camel for Spring Boot 4 升级到版本 2.5.4。此版本包含修复程序，可解决标头解释不一致的问题。同时，作为临时措施，建议审查并强化上游代理配置，以尽量减少请求走私攻击的潜在影响。监控服务器日志中是否存在可疑的请求模式也是一种很好的做法。升级是解决问题的最有效方法，强烈建议。