Incorrect Authorization in Undertow

中 5.9CVE-2017-12196 · GHSA-cp7v-vmv7-6x2q · 18/04/2018 公開 · 17/06/2026 更新

要点

CVE-2017-12196 は io.undertow:undertow-core, jboss enterprise application platform (redhat), jboss fuse (redhat) に影響する深刻度「中」 (CVSS 5.9) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.0%（全脆弱性の 80.9% より高い）。
対処：2.0.2.FInal, 1.4.24.Final 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
io.undertow:undertow-core Maven	`≥ 2.0.0.Alpha1, < 2.0.2.FInal< 1.4.24.Final`	`2.0.2.FInal1.4.24.Final`
jboss enterprise application platform redhat	`= 7.0.0`	修正版なし
jboss fuse redhat	`= 6.0.0`	修正版なし
undertow redhat	`= 1.4.24= 2.0.2≤ 1.4.18`	修正版なし
virtualization redhat	`= 4.0`	修正版なし

概要

Undertow before versions 1.4.18.SP1 (not findable in Maven), 2.0.2.Final, and 1.4.24.Final was found vulnerable when using Digest authentication, the server does not ensure that the value of URI in the Authorization header matches the URI in HTTP request line. This allows the attacker to cause a MITM attack and access the desired content on the server.

NVD の説明

undertow before versions 1.4.18.SP1, 2.0.2.Final, 1.4.24.Final was found vulnerable when using Digest authentication, the server does not ensure that the value of URI in the Authorization header matches the URI in HTTP request line. This allows the attacker to cause a MITM attack and access the desired content on the server.