CVE-2023-5379
Açıklama
Undertow'da bir açık bulundu. ajp-listener içerisindeki max-header-size özniteliğini aşan bir AJP isteği gönderildiğinde, JBoss EAP, httpd içindeki mod_cluster tarafından hata durumunda olarak işaretlenir ve bu durum JBoss EAP'nin bir AJP yanıtı döndürmeden TCP bağlantısını kapatmasına neden olur. Bu durum, mod_proxy_cluster'ın, AJP isteği gönderildikten sonra bir AJP yanıtı alınmadan arka uçtan TCP bağlantısı kapatıldığında JBoss EAP örneğini hatalı bir çalışan (error worker) olarak işaretlemesi ve yönlendirmeyi durdurması nedeniyle gerçekleşir. Bu sorun, kötü niyetli bir kullanıcının max-header-size değerini aşan istekleri tekrar tekrar göndermesine izin vererek Hizmet Reddi (DoS) durumuna yol açabilir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat jboss_enterprise_application_platform | Aralık belirtilmemiş, 7.0.0 | — |
| redhat single_sign-on | 7.0 | — |
| redhat undertow | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.