Oracle Helidon: критическая уязвимость в MicroProfile Security (CVE-2026-101590)

В компоненте helidon-microprofile-security продукта Oracle Helidon (часть Oracle Fusion Middleware) выявлена уязвимость CVE-2026-101590, которой присвоен критический уровень опасности. Проблема затрагивает механизмы безопасности MicroProfile и позволяет злоумышленнику обходить аутентификацию, получая несанкционированный доступ к защищённым ресурсам приложения.

Подробности

Уязвимости подвержены поддерживаемые версии Helidon с 4.0.0 по 4.5.5 включительно. Согласно описанию, эксплуатация не требует аутентификации: атакующему достаточно сетевого доступа к приложению по HTTP. Успешная атака приводит к несанкционированному созданию, удалению или изменению критичных данных, а также к получению полного доступа ко всем данным, доступным через Helidon. Оценка по CVSS 3.1 составляет 9.1 (CRITICAL). Вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N указывает на сетевой вектор атаки, низкую сложность эксплуатации, отсутствие требований к привилегиям и взаимодействию с пользователем, а также высокое влияние на конфиденциальность и целостность. Влияние на доступность не заявлено. Уязвимость классифицируется как легко эксплуатируемая, что повышает риск её активного использования.

Что делать

Основная рекомендация — обновить Helidon до версии, в которой устранена уязвимость. Поскольку в записи CVE не указана исправленная версия, следует обратиться к официальным рекомендациям Oracle (Critical Patch Update) и проверить актуальный релиз Helidon перед обновлением. До установки патча целесообразно применить компенсирующие меры:

• ограничить сетевой доступ к сервисам на Helidon на уровне межсетевого экрана и reverse-proxy, оставив только доверенные источники;
• усилить мониторинг журналов на предмет аномальных запросов к защищённым эндпоинтам и попыток доступа без аутентификации;
• по возможности сегментировать приложение и минимизировать объём данных, доступных через затронутый компонент;
• проверить конфигурацию MicroProfile Security и убедиться, что защищённые ресурсы не выставлены в публичный контур без необходимости.

Итог: CVE-2026-101590 — серьёзная угроза для приложений на Oracle Helidon версий 4.0.0–4.5.5. Учитывая критическую оценку и простоту эксплуатации без аутентификации, обновление продукта и ограничение сетевого доступа к затронутым сервисам следует выполнить в приоритетном порядке.

Источник: CVE Project (cvelistV5)