Intel

CVE-2026-39852

Red Hat Security Advisory: Streams for Apache Kafka 3.2.1 release and security update

highEPSS 0.5 %

Beschreibung

Quarkus ist ein Java-Framework zum Erstellen von Cloud-native-Anwendungen. In Versionen vor 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1, 3.34.7 und 3.35.2 besteht aufgrund einer Inkonsistenz bei der Pfadnormalisierung zwischen der Sicherheitsschicht und der Routingschicht die Möglichkeit, dass nicht authentifizierte oder weniger privilegierte Benutzer HTTP-Pfad-basierte Autorisierungsrichtlinien umgehen können. Die Sicherheitsschicht von Quarkus führt Autorisierungsprüfungen auf dem rohen URL-Pfad durch und bewahrt Matrixparameter (Semikolons) bei, während die Routingschicht von RESTEasy Reactive Matrixparameter vor dem Abgleich mit Endpunkten entfernt. Ein Angreifer kann einen Semikolon und beliebigen Text an eine Anfrage-URL anhängen (z.B. /api/admin;anything), um Richtlinien zu umgehen, die /api/admin schützen, während der Zugriff auf den geschützten Endpunkt weiterhin möglich ist. Dieses Problem wurde in Versionen 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1, 3.34.7 und 3.35.2 behoben.

Quelle: REDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFCVELISTV5EUVDOSVNVDCVEORG

Metriken

Severity
high
Priority-Score
137.09
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
8.8
Quelle: nvd-v4
CVSS v3
8.2
CVSS v4
8.8
EPSS-Perzentil
40.2 %
Hoch — CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
EPSS-Score
0.5 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-08-12 19:35 UTC
CWE
CWE-863

Weakness-Klassen (CWE)

  • CWE-863Class

    Incorrect Authorization

    The product performs an authorization check when an actor attempts to access a resource or perform an action, but it does not correctly perform the check.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. CVE Modified2026-08-04 13:18 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Affected: Cryostat 4 on RHEL 9, Cryostat 4 on RHEL 9, Cryostat 4 on RHEL 9 (+25) → Cryostat 4 on RHEL 9, Cryostat 4 on RHEL 9, Cryostat 4 on RHEL 9 (+25)
  2. CVE Translated2026-07-24 21:10 UTC· nvd@nist.gov
    • Translation: Title: Quarkus de quarkusio, Description: Quarkus es un framework Java para construir aplicaciones nativas de la nube. En versiones anteriores a 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1, 3.34.7 y 3.35.2, una inconsistencia en la normalización de rutas entre la capa de seguridad y la capa de enrutamiento permite a usuarios no autenticados o con privilegios inferiores eludir las políticas de autorización basadas en rutas HTTP. La capa de seguridad de Quarkus realiza comprobaciones de autorización en la ruta URL sin procesar, que conserva los parámetros de matriz (punto y coma), mientras que la capa de enrutamiento de RESTEasy Reactive elimina los parámetros de matriz antes de hacer coincidir los puntos finales. Un atacante puede añadir un punto y coma y texto arbitrario a una URL de solicitud (por ejemplo, /api/admin;anything) para eludir las políticas que protegen /api/admin mientras sigue enrutando al punto final protegido. Este problema ha sido solucionado en las versiones 3.20.6.1, 3.27.3.1, 3.33.1.1, 3.35.1.1, 3.34.7 y 3.35.2.
  3. CVE Modified2026-07-03 13:17 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Reference: https://access.redhat.com/errata/RHSA-2026:34608
    • Affected: Cryostat 4 on RHEL 9, HawtIO HawtIO 4.4.0, Red Hat Build of Apache Camel 4.14 for Quarkus 3.27 (+15) → Cryostat 4 on RHEL 9, HawtIO HawtIO 4.4.0, Red Hat Build of Apache Camel 4.14 for Quarkus 3.27 (+15)

Betroffene Betriebssysteme

  • linux

    ubuntu / nettynoble

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • apache

    kafka2.8.0 – 3.9.2

  • apache

    kafka4.0.0 – 4.0.2

  • apache

    kafka4.1.0 – 4.1.2

  • Atlassian

    BambooData Center LTS 10.2.22

  • Atlassian

    BambooData Center LTS 12.1.10

  • Atlassian

    BitbucketData Center 10.4.2

  • Atlassian

    BitbucketData Center LTS 10.2.6

  • Atlassian

    BitbucketData Center LTS 9.4.23

  • Atlassian

    ConfluenceData Center LTS 10.2.15

  • Atlassian

    ConfluenceData Center LTS 9.2.23

  • Atlassian

    Crucible4.9.13

  • Atlassian

    Fisheye4.9.13

  • Atlassian

    JiraData Center LTS 10.3.24

  • Atlassian

    JiraData Center LTS 11.3.10

  • bitnami

    golang1.26.0-0

  • eclipse

    vert.x4.0.0 – 4.5.29

  • eclipse

    vert.x5.0.0 – 5.1.4

  • go

    stdlib1.26.0-0

  • golang

    go1.26.0 – 1.26.2

  • golang

    go1.26.0 – 1.26.3

  • golang

    go1.25.10

  • golang

    go1.25.9

  • golang

    net0.55.0

  • IBM

    QRadar SIEM<7.5.0 UP15 IF06

Quellen & Referenzen

Verknüpfte CVEs

33 weitere CVEs anzeigen
IDCVE-2026-39852