CVE-2026-90584: уязвимость в TooTallNate Java-WebSocket позволяет удалённо исчерпать ресурсы
В библиотеке TooTallNate Java-WebSocket до версии 1.6.1 включительно обнаружена уязвимость категории «allocation of resources» (CWE-770), связанная с обработкой фрагментированных WebSocket-сообщений. Атаку можно провести удалённо, а публичный эксплойт уже доступен. CVSS — 6.9 (MEDIUM).
Подробности
Уязвимость локализована в функции processFrameContinuousAndNonFin файла Draft_6455.java, входящего в компонент Fragmentation Handler. Именно этот код отвечает за сборку фрагментированных WebSocket-сообщений, когда одно логическое сообщение передаётся несколькими кадрами (continuation frames). По классификации проблема относится к категории «allocation of resources» (CWE-770: Allocation of Resources Without Limits or Throttling) — то есть к ситуациям, когда приложение выделяет ресурсы без должных ограничений или регулирования. Манипулируя потоком фрагментированных кадров, злоумышленник может спровоцировать неконтролируемое потребление памяти или иных ресурсов, что способно привести к деградации сервиса или отказу в обслуживании. Затронуты версии TooTallNate Java-WebSocket вплоть до 1.6.1 включительно. Согласно описанию CVE, атака может быть выполнена удалённо, не требуя локального доступа к системе. Базовая оценка CVSS составляет 6.9, что соответствует уровню MEDIUM — уязвимость требует внимания, но не является критической. Дополнительный фактор риска: эксплойт для данной уязвимости уже опубликован и доступен публично, что повышает вероятность его использования в реальных атаках. При этом исправляющий pull request на момент публикации записи CVE ещё ожидает принятия мейнтейнерами проекта.Что делать
Поскольку официальный патч на момент публикации не выпущен, рекомендуется принять следующие меры: - Отслеживать статус pull request в репозитории TooTallNate Java-WebSocket и обновиться до исправленной версии сразу после её релиза. - Если обновление пока невозможно, ограничить размер входящих WebSocket-сообщений и число фрагментов на уровне приложения или промежуточного прокси (например, задать жёсткие лимиты на продолжительность и объём фрагментированного потока). - Настроить мониторинг потребления памяти и аномальной активности WebSocket-соединений, чтобы своевременно выявлять попытки эксплуатации. - Ограничить доступ к WebSocket-эндпоинтам на сетевом уровне там, где это допустимо, и применять rate limiting для подключений.Итог
CVE-2026-90584 — умеренно опасная уязвимость в TooTallNate Java-WebSocket, связанная с неконтролируемым выделением ресурсов при обработке фрагментированных кадров. Публичная доступность эксплойта и отсутствие готового патча делают своевременные митигации особенно важными: до выхода исправления стоит ограничить параметры WebSocket-трафика и усилить мониторинг.Источник: CVE Project (cvelistV5)