Red Hat Process Automation 7 の脆弱性一覧 (24 件)

高 8.7 Undertowで細工されたHTTPリクエストによりリクエスト・スマグリングの脆弱性 Undertowは、先頭のヘッダ行の先頭に空白が続くHTTPリクエストを誤って処理するため、遠隔の攻撃者がリクエスト・スマグリングを行える脆弱性です。セキュリティ機構を回避され、制限された情報を取得されるおそれがあります。影響を受けるのは2.3.23.Final以前のio.undertow:undertow-parentです。最新の情報を確認してください。 CVE-2026-28369 3月28日 2:16

高 8.7 Undertowでリクエスト・スマグリングの脆弱性、アクセス制限を回避されるおそれ遠隔の攻撃者が、ヘッダー名の解釈がプロキシと異なるリクエストを細工して送ることで、リクエスト・スマグリング攻撃を行えるおそれがあります。これによりセキュリティ制御を回避され、本来アクセスできないリソースに接続される可能性があります。影響を受けるのはUndertow 2.3.23.Final以前のバージョンです。修正版の有無については最新の情報を確認してください。 CVE-2026-28368 3月28日 2:16

高 8.7 Undertow にHTTPリクエスト・レスポンスの偽装を許す欠陥遠隔の攻撃者が特殊なヘッダー区切りを送ることで、HTTPリクエストやレスポンスを偽装される(リクエストスムグリング)おそれがあります。影響を受けるのは io.undertow:undertow-parent の 2.3.23.Final 以前の版です。修正版の情報は事実に含まれていないため、最新の情報を確認してください。 CVE-2026-28367 3月28日 2:16

高 7.5 Undertowで遠隔から送られた巨大なパラメータ名によりサービス停止のおそれ Undertowでは、特定のメソッドを使うサーブレットに対し、大きなパラメータ名を含むリクエストを送ると OutOfMemoryError が発生し、遠隔からサービス拒否(DoS)攻撃を受けるおそれがあります。認証のない攻撃者でも悪用できるため、重大度は高とされています。修正版の有無については最新の情報を確認してください。 CVE-2024-4027 1月31日 0:16

高 8.3 Hibernate ORMで二次SQLインジェクションによりデータを読み取られ削除される Hibernate ORMの一部版には、二次SQLインジェクションの脆弱性が見つかっています。低い権限を持つ遠隔の攻撃者により、システムファイルを含む機密情報を読み取られたり、データベース内のデータを改ざん・削除されたりするおそれがあります。影響を受けるのはhibernate-core 5.2.8以上5.3.38未満で、5.3.38以降の修正版へ更新してください。 CVE-2026-0603 1月23日 16:15

高 8.1 WildFly Elytronの統合機能に総当たり攻撃を受ける脆弱性、CLI経由で認証を突破されるおそれ WildFly Elytron統合機能に、短時間に繰り返された認証失敗を制限する仕組みが不十分という脆弱性が見つかりました。CLI経由で総当たり攻撃を受けやすく、CVSSは8.1で重要度は高とされています。修正版の情報は事実に含まれていないため、最新の情報を確認してください。 CVE-2025-23368 2025年3月5日

高 7.4 Quarkus HTTPにCookieを偽装される脆弱性 HttpOnlyの値が漏れるおそれ Quarkus-HTTPが受信リクエストのCookieを解析する際、特定の区切り文字の扱いに誤りがあり、HttpOnlyのCookieの値が外部に漏れたり、ほかのCookieの値を偽装されたりするおそれがあります。CVSSは7.4で、機密性と完全性に影響します。影響する版と修正版は公表されていないため、最新の情報を確認してください。 CVE-2024-12397 2024年12月12日

高 7.5 Keycloakに攻撃者が大量のリクエストを送ってサービスを止められる脆弱性 2024年9月に公表されたCVE-2023-6841は、Keycloakの属性数に上限がないため、サービス妨害（DoS）を受けるおそれがある脆弱性です。24.0.0より前のKeycloakが影響を受け、24.0.0で修正されています。古い版を使っている場合は、24.0.0以降への更新を検討してください。 CVE-2023-6841 2024年9月11日

中 5.3 Undertow の脆弱性 Undertow に脆弱性 (CVE-2024-3653) が存在。不正な操作・情報露出のリスクがあります。 CVE-2024-3653 2024年7月9日

高 7.5 Undertowにサービス拒否の脆弱性、Java 17とTLSv1.3の環境で発生 2024年7月に公表された脆弱性です。Java 17とTLSv1.3を組み合わせた環境で、Undertowのチャンク形式の応答が終端されず、クライアントが待ち続けてサーバーのリソースを消費し、サービス拒否の状態になるおそれがあります。CVSS v3のスコアは7.5です。修正版の情報は確認できていないため、最新の情報を確認してください。 CVE-2024-5971 2024年7月9日

中 6.0 Keycloak にクロスサイトスクリプティング Keycloak に XSS (クロスサイトスクリプティング) (CVE-2023-6717) が存在。機密情報が外部に流出する可能性があります。 CVE-2023-6717 2024年4月26日

中 6.5 Quarkus: authorization flaw in quarkus resteasy reactive and classic when "quarkus.security.jaxrs.deny-unannotated-endpoints" or "quarkus.security.jaxrs.default-roles-allowed" properties are used. A flaw was found in Quarkus. When a Quarkus RestEasy Classic or Reactive JAX-RS endpoint has its methods declared in the abstract Java class or customized by Quarkus extensions using the annotation processor, the authorization of these methods will not be enforced if it is enabled by either 'quarkus... CVE-2023-5675 2024年4月26日

高 7.4 Keycloakの脆弱性、チェックイン用iframeの検証不備でサービス停止のおそれ 2024年4月に公表された、Keycloakのチェックログイン用iframeにおける脆弱性です。オリジン検証が不十分で、攻撃者が大量のリクエストを短時間に送り、サービスの可用性を損なうおそれがあります。影響を受けるのは21.1.0以上22.0.10未満と、23.0.0以上24.0.3未満で、修正版は22.0.10と24.0.3です。公開から時間がたっていますが、該当版を使っている場合は修正版への更新を確認してください。 CVE-2024-1249 2024年4月17日

高 8.1 Keycloakのリダイレクト検証の不備で情報が漏えいする脆弱性 2024年4月に公表された、Keycloakのリダイレクト検証の脆弱性です。細工したURLを開かせることで検証を回避され、ドメイン内の別のURLや機密情報にアクセスされるおそれがあります。CVSSは8.1で、重大度は高とされています。修正版の情報は事実に含まれていないため、最新の情報を確認してください。 CVE-2024-1132 2024年4月17日

中 5.4 脆弱性情報脆弱性 (CVE-2024-1300) が報告されています。不正な操作・情報露出のリスクがあります。 CVE-2024-1300 2024年4月2日

中 6.5 Eclipse Vert.x toolkit の脆弱性 Eclipse Vert.x toolkit に脆弱性 (CVE-2024-1023) が存在。不正な操作・情報露出のリスクがあります。 CVE-2024-1023 2024年3月27日

高 7.5 XNIOの脆弱性によりサービス拒否が起きるおそれ 2024年3月に公表された、XNIOのNotifierStateに関する脆弱性です。通知の状態の連鎖が大きくなりすぎると、スタックオーバーフロー例外が起きて資源が制御できなくなり、サービス拒否(DoS)につながるおそれがあります。CVSSは7.5です。修正版の情報は確認できていないため、最新の情報を確認してください。 CVE-2023-5685 2024年3月23日

高 7.1 Keycloakのredirect_uri検証を回避され、アクセストークンを盗まれる脆弱性 2024年1月に公表された、Keycloakのredirect_uri検証の不備による脆弱性です。許可されたホスト以外へ迂回される可能性があり、成功すると、アクセストークンが盗まれ、ほかのユーザーになりすまされるおそれがあります。CVSSは7.1で、影響する版と修正版の情報は本記事の元データにないため、最新の情報を確認してください。 CVE-2023-6291 2024年1月27日

中 4.4 Infinispan: circular reference on marshalling leads to dos A flaw was found in Infinispan, which does not detect circular object references when unmarshalling. An authenticated attacker with sufficient permissions could insert a maliciously constructed object into the cache and use it to cause out of memory errors and achieve a denial of service. CVE-2023-5236 2023年12月18日

高 7.5 Undertowの脆弱性でJBoss EAPがサービス拒否に陥るおそれ 2023年12月に公表された、Undertowの脆弱性(CVE-2023-5379)です。ajp-listenerのmax-header-sizeを超えるAJPリクエストを繰り返し送られると、mod_clusterがJBoss EAPをエラー状態とみなして転送を止め、サービス拒否(DoS)が起きるおそれがあります。CVSSは7.5で、深刻度は高とされています。修正版の情報は事実に含まれていないため、最新の情報を確認してください。 CVE-2023-5379 2023年12月13日

高 8.1 Quarkusのセキュリティポリシーを回避される脆弱性、認証を経ずにエンドポイントへ到達のおそれ 2023年9月に公表されたCVE-2023-4853は、Quarkusのポリシー判定が一部の文字の組み合わせを正しく処理できず、セキュリティポリシーを回避される脆弱性です。攻撃者は未承認のエンドポイントにアクセスできるおそれがあり、サービス拒否につながる可能性もあります。CVSSは8.1で高い水準です。修正版の情報は、最新の情報を確認してください。 CVE-2023-4853 2023年9月20日

Red Hat Process Automation 7 に関連する脆弱性 24