CVE-2026-87743
Quarkus-vertx-http: authorization bypass via path normalization discrepancy in quarkus http security
Что произошло
A flaw was found in Quarkus HTTP security. An unauthenticated attacker can exploit a discrepancy in how paths are normalized between the security matcher and HTTP request dispatchers. This allows the attacker to craft a URL that the security matcher considers public, but which is then routed to a protected endpoint, leading to an authorization bypass and potential unauthorized access to sensitive information.
Что это значит
В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.
Что делать
1. Проверьте, затронуты ли вы
Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.
dpkg-query -W -f='${Package} ${Version}\n'rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'Get-HotFix | Select-Object HotFixID, InstalledOn
2. Установите исправление
Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.
3. Временные меры
Mitigation for this issue is either not available or the currently available options do not meet the Red Hat Product Security criteria comprising ease of use and deployment, applicability to widespread installation base, or stability.
4. Проверьте следы эксплуатации
Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.
5. После исправления
- Проверьте фактическую версию и результат установки по бюллетеню.
- При необходимости перезапустите сервисы в согласованное окно.
- Повторите проверку сканером и функциональные проверки.
- Зафиксируйте результат, дату, владельца и оставшийся риск.
Продукты и затронутые версии
Red Hat / Red Hat build of Quarkus 3.27.5.SP2
cpe:/a:redhat:quarkus:3.27::el8
Red Hat / Red Hat build of Quarkus 3.33.3.SP2
cpe:/a:redhat:quarkus:3.33::el8
Red Hat / Red Hat OpenShift Dev Spaces 3.31
{
"status": "unaffected",
"version": "1792491532",
"lessThan": "*",
"versionType": "rpm"
}cpe:/a:redhat:openshift_devspaces:3.31::el9
Red Hat / Exploit Intelligence
cpe:/a:redhat:exploit_intelligence:0
Red Hat / OpenShift Serverless
cpe:/a:redhat:serverless:1
Red Hat / Red Hat build of Apache Camel 4 for Quarkus 3
cpe:/a:redhat:camel_quarkus:3
Red Hat / Red Hat build of Apicurio Registry 3
cpe:/a:redhat:apicurio_registry:3
Red Hat / Red Hat build of Debezium 3
cpe:/a:redhat:debezium:3
Red Hat / Red Hat Build of Keycloak
cpe:/a:redhat:build_keycloak:
Red Hat / Red Hat Fuse 7
cpe:/a:redhat:jboss_fuse:7
Red Hat / Red Hat OpenShift AI (RHOAI)
cpe:/a:redhat:openshift_ai
CVSS: оценки и векторы
CVSS 3.1 · cve7.5
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS 3.1 · secalert@redhat.com7.5
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS 3.1 · ghsa7.5
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Источники и ссылки
Происхождение полей
{
"cwes": [
"cve",
"ghsa",
"nvd"
],
"epss": {
"source": "epss",
"received_at": "2026-11-03T21:15:38.021768+00:00"
},
"title": {
"source": "cve",
"received_at": "2026-10-29T17:54:21.074733+00:00"
},
"scores": [
"cve",
"ghsa",
"nvd"
],
"status": {
"source": "cve",
"received_at": "2026-10-29T17:54:21.074733+00:00"
},
"affected": [
"cve"
],
"published": {
"source": "cve",
"received_at": "2026-10-29T17:54:21.074733+00:00"
},
"solutions": [],
"percentile": {
"source": "epss",
"received_at": "2026-11-03T21:15:38.021768+00:00"
},
"references": [
"cve",
"ghsa",
"nvd"
],
"description": {
"source": "cve",
"received_at": "2026-10-29T17:54:21.074733+00:00"
},
"workarounds": [
"cve"
],
"configurations": []
}Хронология записи
- Данные обновлены04.11.2026, 00:15
- Данные обновлены03.11.2026, 00:15
- Данные обновлены02.11.2026, 00:12
- Данные обновлены31.10.2026, 12:00
- Данные обновлены29.10.2026, 21:41
- Данные обновлены29.10.2026, 21:37
- Данные обновлены29.10.2026, 20:54
- Данные обновлены29.10.2026, 12:44
- Опубликована28.10.2026, 20:31
Личная заметка и статус
Другие CVE того же продукта
| УЯЗВИМОСТЬ / ПРОДУКТ | ПРИОРИТЕТ | CVSS | EPSS | СИГНАЛЫ | ОПУБЛИКОВАНА | Карточка |
|---|---|---|---|---|---|---|
| CVE-2026-114236 Podman: goroutine/file-descriptor leak in storage/pkg/archive.applylayer and applyuncompressedlayer on malformed layers Red Hat / Confidential Compute Attestation · Red Hat / DPU kit for NVIDIA | Низкий | 3.3 | 0,1 % | 21.10.2026 | ||
| CVE-2026-42203 LiteLLM: Server-Side Template Injection in /prompts/test endpoint BerriAI / litellm · Red Hat / Exploit Intelligence | Высокий | 8.6 | 0,37 % | Патч | 08.05.2026 | |
| CVE-2026-42271 LiteLLM: Authenticated command execution via MCP stdio test endpoints BerriAI / litellm · Red Hat / Red Hat OpenShift AI 2.25 | Критический | 8.7 | 91,45 % | KEVПатч | 08.05.2026 | |
| CVE-2026-42338 ip-address: XSS in Address6 HTML-emitting methods beaugunderson / ip-address · Red Hat / Red Hat AMQ Broker 7.13.6 | Высокий | 5.3 | 0,47 % | PoC | 12.05.2026 | |
| CVE-2026-42561 Python-Multipart: Denial of Service via unbounded multipart part headers Kludex / python-multipart · Red Hat / Red Hat Ansible Automation Platform 2.6 | Высокий | 7.5 | 0,74 % | 13.05.2026 |