PT-2026-5402 · Undertow · Undertow

CVE-2024-4027 · Publicado 2024-01-01 · Atualizado 2026-02-28

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas Undertow (versões afetadas não especificadas)

Descrição Existe uma falha no Undertow na qual servlets que utilizam um método que chama HttpServletRequestImpl.getParameterNames() podem sofrer um OutOfMemoryError ao processar solicitações de cliente com nomes de parâmetros excessivamente grandes. Essa condição pode ser explorada por um atacante não autorizado para iniciar um ataque de negação de serviço (DoS) remoto. A função vulnerável é getParameterNames().

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

DoS

RCE

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-20

CWE-770

Identificadores relacionados

CVE-2024-4027

GHSA-33HJ-RCMX-86MV

OESA-2026-1431

Produtos afetados

Undertow

Referências · 28

• https://github.com/undertow-io/undertow · Nota
• https://github.com/undertow-io/undertow/commit/cb854c779b9e2368c3c274ebd7217c8e75d505be · Nota
• https://github.com/undertow-io/undertow/releases/tag/2.2.39.Final · Nota
• https://github.com/undertow-io/undertow/commit/8318dd36fdc2c9842baf10c5f1bfbb3bc23f75e7 · Nota
• https://github.com/undertow-io/undertow/commit/fb14baa51b611a4a9f755f1d8b07d6e12eac68e3 · Nota
• https://github.com/undertow-io/undertow/commit/6b7c18481ce65ae4012d92fe2b7f17a21ef4d70b · Nota
• https://github.com/undertow-io/undertow/releases/tag/2.3.21.Final · Nota
• https://github.com/undertow-io/undertow/releases/tag/2.4.0.Beta1 · Nota
• https://github.com/undertow-io/undertow/pull/1894 · Nota
• https://github.com/undertow-io/undertow/pull/1882 · Nota
• https://github.com/undertow-io/undertow/pull/1860 · Nota
• https://security-tracker.debian.org/tracker/CVE-2024-4027 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-4027 · Nota de Segurança
• https://twitter.com/CVEnew/status/2017253395065913492 · Publicação no Twitter
• https://issues.redhat.com/browse/UNDERTOW-2377 · Nota