ЗАГОЛОВИМО: CVE-2026-15565: уязвимость DoS в Undertow WebSocket
В компоненте Undertow выявлена уязвимость CVE-2026-15565, связанная с возможностью удалённого отказа в обслуживании (DoS) через WebSocket-эндпоинты. Проблема не требует аутентификации и эксплуатируется с использованием обычного WebSocket-рукопожатия.
Подробности
Уязвимость затрагивает Undertow — серверный движок, лежащий в основе ряда продуктов Red Hat. Опасности подвержены любые @ServerEndpoint-классы, содержащие хотя бы один метод, помеченный @OnMessage. По данным описания CVE, злоумышленник без прохождения аутентификации может инициировать исчерпание памяти (Out of Memory), что приводит к отказу в обслуживании.
Уязвимость получила оценку CVSS 7.5 (HIGH). Вектор атаки — сетевой, сложность низкая, привилегии не требуются, взаимодействие с пользователем не нужно. Это классический сценарий неаутентифицированного DoS, эксплуатация которого сводится к отправке стандартного WebSocket- рукопожатия на уязвимый эндпоинт.
Согласно записи CVE, в зоне риска находятся следующие продукты и версии Red Hat:
- Red Hat JBoss Enterprise Application Platform 7.4.25
- Red Hat JBoss Enterprise Application Platform 7.4 ELS на RHEL 7, RHEL 8, RHEL 9
- Red Hat JBoss Enterprise Application Platform 8.1 для RHEL 8, RHEL 9, RHEL 10
- Red Hat build of Apache Camel for Spring Boot 4
- Red Hat Data Grid 8
- Red Hat Fuse 7
- Red Hat JBoss Enterprise Application Platform 7
- Red Hat JBoss Enterprise Application Platform Expansion Pack
- Red Hat Single Sign-On 7
Что делать
Основная рекомендация — отслеживать выпуск официальных обновлений от Red Hat и вендоров, поставляющих продукты на базе Undertow, и оперативно устанавливать патчи после их публикации. Поскольку CVE-2026-15565 эксплуатируется до аутентификации, стандартные средства контроля доступа не защищают от атаки.
В качестве временных митигаций можно рассмотреть:
- ограничение сетевого доступа к WebSocket-эндпоинтам на уровне периметра (firewall, reverse proxy, WAF);
- включение лимитов на потребление памяти и на количество одновременных соединений для сервиса;
- мониторинг аномального роста потребления памяти и подозрительной активности WebSocket-соединений;
- по возможности — временное отключение неиспользуемых WebSocket-эндпоинтов с классами
@ServerEndpoint, содержащими методы@OnMessage.
Важно понимать, что перечисленные меры являются обходными и не устраняют саму уязвимость. Полное решение — установка исправленной версии продукта.
Уязвимость CVE-2026-15565 относится к классу неаутентифицированного отказа в обслуживании и представляет практическую угрозу для сервисов, публично доступных через WebSocket. Высокая оценка CVSS 7.5 и низкая сложность эксплуатации требуют приоритетного внимания со стороны администраторов перечисленных продуктов Red Hat. Рекомендуется как можно скорее проверить наличие уязвимых версий в инфраструктуре и запланировать обновление.
Источник: CVE Project (cvelistV5)