Résumé
vulnérabilité dans dos (CVE-2026-41708). Risque d'opérations non autorisées ou de divulgation.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
In Spring Cloud Sleuth, it is possible for a user to provide specially crafted calls that may cause a denial-of-service (DoS) condition. The application is vulnerable when it uses a vulnerable version of org.springframework.cloud:spring-cloud-sleuth-instrumentation and Spring TX instrumentation is not disabled.
Affected versions:
Spring Cloud Sleuth 3.1.0 through 3.1.13.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-41708 a été découverte dans dos.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 7.5/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « dos CVE-2026-41708 » sur le site de l'éditeur.
CVE-2026-41708 (dos) — CWE-400 / CVSS v3 7.5
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Spring Cloud Sleuthの特定バージョンにおいて不正なコールがDoSを引き起こす可能性。
Spring Cloud Sleuth バージョン 3.1.0 から 3.1.13。
特定のリクエストによりDoS攻撃が可能で、サービス停止やリソース消費過多を引き起こす。
無効なバージョンのSpring TXインストルメンテーションを避け、脆弱性を修正したバージョンへアップデートする。
Spring TXインストルメンテーションを手動で無効化する。
使用しているSpring Cloud Sleuthのバージョンを確認し、3.1.0から3.1.13までの範囲に含まれるかチェックする。
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'dos' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
dosを grep し、稼働しているサービス・バージョンを把握する。 -
7Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 3 と同じログクエリでアラート再発が無いか継続監視。
Paquets affectés
Références
- web spring.io
- web nvd.nist.gov
- web github.com