HIGH🇬🇧 English

CVE-2026-68074

Apache Qpid Broker-J: wyczerpanie zasobów bez uwierzytelnienia (DoS)

CVSS 7.5pub. 2026-08-05upd. 2026-08-07

Podatność w Apache Qpid Broker-J umożliwia nieuwierzytelnionemu atakującemu wywołanie odmowy usługi (DoS) poprzez nieograniczone buforowanie wartości symboli. Zagrożenie jest poważne, ponieważ atak nie wymaga żadnych uprawnień ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

A pre-authentication attacker could leverage unbounded symbol value caching to cause resource exhaustion leading to denial of service. This issue affects Apache Qpid Broker-J: through 10.0.1. Users are recommended to upgrade to version 10.1.0, which fixes the issue.

🤖 Analiza AI
Jak działa

Atakujący przed uwierzytelnieniem może wysyłać żądania powodujące nieograniczone (unbounded) buforowanie (caching) wartości symboli w brokerze. Brak limitu na rozmiar lub liczbę przechowywanych wpisów prowadzi do wyczerpania zasobów systemowych (resource exhaustion), co odpowiada klasyfikacji CWE-770 (Allocation of Resources Without Limits or Throttling). W efekcie broker przestaje obsługiwać nowe i istniejące połączenia.

Skutki

Atakujący może doprowadzić do całkowitej niedostępności usługi Apache Qpid Broker-J bez konieczności posiadania konta lub poświadczeń. Skutkiem jest przerwa w obsłudze komunikacji opartej na tym brokerze wiadomości.

Mitygacja

Należy zaktualizować Apache Qpid Broker-J do wersji 10.1.0, która eliminuje opisaną podatność. Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do brokera wyłącznie do zaufanych hostów za pomocą firewall.

Kogo dotyczy

Apache Qpid Broker-J w wersjach do 10.0.1 włącznie.

Uwagi

Informacja o podatności została opublikowana na liście dyskusyjnej Apache oraz liście oss-security w dniu 4 sierpnia 2026 r.

CVSS Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

  • Apache Qpid Broker J

    APP
    Apache
    < 10.1.0
🔵
ZWERYFIKUJ U PRODUCENTA
Brak jednoznacznych danych o patchu. Sprawdź referencje od producenta.
Tagi
DoS
CWE
Referencje

Powiązane podatności

CVE-2017-15702CRITICAL9.8PL ✓ten sam produkt

Apache Qpid Broker-J — pominięcie uwierzytelniania przez podmianę dostawcy auth

CVE-2016-4432CRITICAL9.1PL ✓ten sam produkt

Pominięcie uwierzytelnienia w Apache Qpid Java (AMQP)

CVE-2026-68060HIGH7.5PL ✓ten sam produkt

Apache Qpid Broker-J – DoS przez nadmierne alokacje pamięci (pre-auth)

CVE-2026-68073HIGH7.5PL ✓ten sam produkt

Apache Qpid Broker-J — DoS przez przepełnienie stosu bez uwierzytelnienia

CVE-2019-0200HIGH7.5ten sam produkt

A Denial of Service vulnerability was found in Apache Qpid Broker-J versions 6.0.0-7.0.6 (inclusive) and 7.1.0...