یک آسیب‌پذیری با شناسه CVE-2023-5379 و شدت بالا 7.5 در Undertow کشف شد که هنگام ارسال یک درخواست AJP، بدون دریافت پاسخ آن، اتصال TCP را ببندد. این امر به این دلیل اتفاق می‌افتد که mod_proxy_cluster نمونه JBoss EAP را هنگامی که اتصال TCP از سمت backend پس از ارسال درخواست AJP بدون دریافت پاسخ AJP بسته می‌شود، به‌عنوان error worker علامت‌گذاری می‌کند و ارسال را متوقف می‌کند. این آسیب‌پذیری می‌تواند به مهاجم اجازه دهد تا درخواست‌هایی را که از max-header-size فراتر می‌رود، به طور مکرر ارسال کند و منجر به حمله انکار سرویس (DoS) می‌شود.
Red Hat JBoss Enterprise Application Platform نسخه 7 یک پلتفرم برای برنامه‌های جاوا بر اساس زمان اجرا برنامه WildFly است.
محصولات تحت تأثیر
این آسیب‌پذیری JBoss Enterprise Application Platform نسخه 7.4.11 را تحت تأثیر قرار می‌دهد.
توصیه‌های امنیتی
توصیه می‌شود کاربران در اسرع وقت نسبت به ارتقاء JBoss Enterprise Application Platform به نسخه 7.4.12 اقدام نمایند.
منبع خبر:
- 42