CVE-2026-87743: обход авторизации в Quarkus HTTP Security через несоответствие нормализации путей

В компоненте Quarkus HTTP Security выявлена уязвимость, связанная с расхождением в нормализации путей между механизмом проверки безопасности (security matcher) и диспетчерами HTTP-запросов. Это несоответствие позволяет обойти авторизацию и получить доступ к защищённым ресурсам.

Подробности

Уязвимости присвоен идентификатор CVE-2026-87743 и базовая оценка CVSS 7.5 (HIGH). Суть проблемы заключается в том, что security matcher и HTTP-диспетчеры по-разному нормализуют URL-пути. Атакующий, не прошедший аутентификацию, может сконструировать специальный URL, который для механизма безопасности будет выглядеть как публичный (открытый) маршрут, однако при фактической маршрутизации запрос попадёт на защищённый эндпоинт. В результате происходит обход авторизации и потенциальный несанкционированный доступ к чувствительной информации. Согласно записи CVE, уязвимость затрагивает следующие продукты Red Hat: Red Hat Exploit Intelligence; Red Hat OpenShift Serverless; Red Hat build of Apache Camel 4 for Quarkus 3; Red Hat build of Apicurio Registry 3; Red Hat build of Debezium 3; Red Hat Build of Keycloak; Red Hat build of Quarkus; Red Hat Fuse 7; Red Hat OpenShift AI (RHOAI); Red Hat OpenShift Dev Spaces. Поскольку уязвимость не требует аутентификации для эксплуатации, а последствия включают раскрытие защищённых данных, она представляет серьёзную угрозу для приложений и сервисов, построенных на затронутых версиях Quarkus и связанных продуктов.

Что делать

Основная рекомендация — как можно скорее обновить затронутые компоненты до версий, в которых устранена данная уязвимость. Следует отслеживать официальные бюллетени безопасности Red Hat и страницу CVE-2026-87743 для получения информации о доступных патчах и исправленных релизах. Если оперативное обновление невозможно, рекомендуется рассмотреть временные компенсационные меры: - усилить контроль доступа на уровне обратного прокси или API-шлюза, настроив строгую нормализацию путей до передачи запроса в приложение; - ограничить сетевой доступ к чувствительным эндпоинтам средствами сетевого периметра; - включить детальное журналирование запросов, чтобы выявлять попытки эксплуатации через подозрительные или неоднозначные URL-пути; - провести проверку конфигураций безопасности, чтобы убедиться в отсутствии маршрутов, которые могут быть использованы для обхода авторизации. Важно учитывать, что компенсационные меры не заменяют установку официального исправления и должны рассматриваться только как временное решение. Итог: CVE-2026-87743 — уязвимость высокого риска в Quarkus HTTP Security, позволяющая неаутентифицированному атакующему обойти авторизацию за счёт несоответствия нормализации путей. Она затрагивает широкий спектр продуктов Red Hat на базе Quarkus. Организациям, использующим затронутые компоненты, следует незамедлительно применить обновления или временные митигации и усилить мониторинг подозрительных запросов.

Источник: CVE Project (cvelistV5)