„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-15565 betrifft den Undertow-Webserver und ermöglicht es einem Angreifer, über WebSocket-Verbindungen einen Denial-of-Service-Angriff durchzuführen. Der Exploit nutzt eine Speicherverwaltungsschwäche aus, die zum Erschöpfen des verfügbaren RAM führt. Kritisch ist, dass keine Authentifizierung erforderlich ist.
Betroffene Systeme
Die SicherheitslĂĽcke betrifft folgende Konfigurationen:
- Undertow-Versionen mit aktiviertem WebSocket-Support
- Anwendungen mit @ServerEndpoint-Klassen
- Endpunkte, die @OnMessage-Methoden implementieren
- Systeme ohne Authentifizierungsmechanismen auf WebSocket-Endpoints
Technische Details
Der Exploit funktioniert durch die Initiierung mehrerer WebSocket-Handshakes gegenüber anfälligen @ServerEndpoint-Klassen. Die Schwachstelle liegt in der fehlerhaften Speicherverwaltung bei der Verarbeitung eingehender Nachrichten. Ein Angreifer kann kontinuierlich große Datenmengen über mehrere WebSocket-Verbindungen senden, ohne dass der Server diese ordnungsgemäß freigibt. Dies führt zu einer Out-of-Memory-Bedingung.
Besonders kritisch: Der Standard-WebSocket-Handshake ist ausreichend, um die Schwachstelle zu aktivieren. Eine Authentifizierung ist nicht erforderlich.
Empfohlene Massnahmen
- Sofort: WebSocket-Endpoints mit Authentifizierung sichern
- Rate-Limiting fĂĽr WebSocket-Verbindungen implementieren
- Verbindungslimits pro Client konfigurieren
- Speicherlimits fĂĽr WebSocket-Buffer setzen
- Netzwerk-basierte SchutzmaĂźnahmen (WAF) prĂĽfen
- Auf Undertow-Updates warten und diese schnellstmöglich einspielen
Bewertung
CVSS-Score: 7.5 (High)
Die Schwachstelle wird als kritisch eingestuft. Sie ermöglicht authentifizierungsfreie Denial-of-Service-Angriffe über das Netzwerk. Systeme mit öffentlich erreichbaren WebSocket-Endpoints sollten prioritär geschützt werden. Ein Patch ist derzeit nicht verfügbar, weshalb Mitigationsmaßnahmen unverzüglich umzusetzen sind.
„`