„`html
Zusammenfassung
CVE-2026-67588 ist eine Sicherheitslücke mit hohem Schweregrad (CVSS 7.5) in Apache Qpid ProtonJ2. Die Schwachstelle ermöglicht es unauthentifizierten Angreifern, über eine unbegrenzte Symbol-Wert-Zwischenspeicherung Ressourcenerschöpfung auszulösen und damit einen Denial-of-Service-Zustand herbeizuführen.
Betroffene Systeme
Die Sicherheitslücke betrifft Apache Qpid ProtonJ2 in allen Versionen bis einschließlich 1.1.0. ProtonJ2 ist eine Java-Implementierung des AMQP 1.0-Protokolls und wird häufig in Message-Broker- und Enterprise-Messaging-Infrastrukturen eingesetzt. Alle Systeme mit verwundbaren Versionen sind potentiellen DoS-Attacken ausgesetzt.
Technische Details
Die Schwachstelle liegt in der Handhabung von Symbol-Werten im AMQP-Protokoll-Stack. ProtonJ2 implementiert ein Caching-Mechanismus für Symbol-Werte, um Performance zu optimieren. Dieses Caching ist jedoch nicht ausreichend begrenzt. Ein Pre-Authentication-Angreifer kann eine große Anzahl eindeutiger Symbol-Werte senden, ohne sich authentifizieren zu müssen. Das System speichert diese Symbole unbegrenzt im Cache, was zu kontinuierlicher Speichererschöpfung führt.
Dadurch wird die Verfügbarkeit des betroffenen Systems beeinträchtigt. Der Angreifer benötigt lediglich Netzwerkzugriff auf den AMQP-Port und kann die Attacke remote durchführen.
Empfohlene Massnahmen
Sofortmassnahmen:
- Upgrade auf Apache Qpid ProtonJ2 Version 1.2.0 oder höher durchführen
- Netzwerkzugriff auf AMQP-Ports einschränken und auf vertrauenswürdige Systeme beschränken
- Systeme auf ungewöhnliche Speicherauslastung und Performance-Degradation überwachen
Bewertung
CVSS Score: 7.5 (High)
Angriffsvektor: Network
Authentifizierung: Nicht erforderlich
Auswirkung: Denial of Service
Die Schwachstelle erfordert zeitnahe Behebung, da keine Patches vorhanden sind und die Anfälligkeit leicht auszunutzen ist.
„`