CVE-2026-68060

Apache Qpid Broker-J – DoS przez nadmierne alokacje pamięci (pre-auth)

CVSS 7.5pub. 2026-08-05upd. 2026-08-07

Podatność w Apache Qpid Broker-J pozwala nieuwierzytelnionemu atakującemu wywołać odmowę usługi (DoS) poprzez manipulację obsługą rozmiaru i liczby typów, prowadzącą do nadmiernej alokacji pamięci. Zagrożenie jest szczególnie poważne, ponieważ exploit nie wymaga żadnego uwierzytelnienia.

▸ Pokaż oryginał (EN)

A pre-authentication attacker could leverage type size/count handling to cause excessive allocation leading to potential denial of service. This issue affects Apache Qpid Broker-J: through 10.0.1. Users are recommended to upgrade to version 10.1.0, which fixes the issue.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane żądanie sieciowe, które nieprawidłowo obsługuje rozmiar lub liczbę typów danych w protokole brokerowym. Prowadzi to do nadmiernej alokacji zasobów (CWE-770 – Allocation of Resources Without Limits or Throttling). W efekcie broker może wyczerpać dostępną pamięć lub zasoby systemowe, co skutkuje jego niedostępnością.

Skutki

Atakujący może doprowadzić do całkowitej niedostępności usługi Apache Qpid Broker-J (DoS), uniemożliwiając przetwarzanie wiadomości przez brokera. Atak nie wymaga uwierzytelnienia ani interakcji użytkownika.

Mitygacja

Należy zaktualizować Apache Qpid Broker-J do wersji 10.1.0, która zawiera poprawkę eliminującą tę podatność. Szczegóły dostępne w oficjalnym komunikacie Apache na listach dyskusyjnych projektu.

Kogo dotyczy

Apache Qpid Broker-J w wersjach do 10.0.1 włącznie.

Uwagi

Podatność została ujawniona publicznie 4 sierpnia 2026 r. za pośrednictwem listy oss-security (openwall.com). Oficjalny komunikat Apache dostępny pod adresem wskazanym w referencjach.