CVE-2026-9561

Eclipse Kura-nın 5.6.2 versiyasından əvvəlki versiyaları, audit loq yazılarında müştəri IP ünvanının etibarlı mənbəyi kimi müştəri tərəfindən təqdim edilən X-Forwarded-For HTTP başlığını qəbul edir. org.eclipse.kura.web2 (Web Console) və org.eclipse.kura.rest.provider (REST API) komponentləri audit kontekstini başlatdıqda bu başlıqdan əsas IP mənbəyi kimi istifadə edir və org.eclipse.kura.jetty.customizer bütün HTTP/HTTPS konnektorlarında Jetty-nin ForwardedRequestCustomizer-ni şərtsiz şəkildə quraşdırır ki, bu da HttpServletRequest.getRemoteAddr()-in hücumçu tərəfindən idarə olunan başlıq dəyərini əks etdirməsinə səbəb olur. Autentifikasiya olunmamış uzaqdakı hücumçu, loqlanan IP ünvanını marşrutlaşdırıla bilməyən bir dəyərlə saxtalaşdıraraq fail2ban kimi IP-əsaslı brute-force qorumalarını yan keçmək üçün bu zəiflikdən istifadə edə bilər ki, bu da brute-force hücumunun aşkar edilmədən davam etməsinə imkan verir, yaxud qurbanın IP ünvanını inyeksiya edərək həmin ünvana qarşı bloklama tetikləyərək üçüncü tərəfə qarşı xidmətdən imtina halına səbəb ola bilər.