つみかさね

CVE-2026-28368

High(8.7)

UndertowのHTTPリクエストスマグリング脆弱性 CVE-2026-28368：影響範囲と対応方法

公開日: 2026-10-28データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
UndertowRed HatRHSA-2026:25125 / RHSA-2026:25126 未適用

対応ガイド

high|推奨セキュリティ修正影響: 限定的

推奨アクション

  1. 1Undertowをプロキシ/ロードバランサーの背後で使用しているか確認する
  2. 2Red Hatのエラータ(RHSA-2026:25125 / 25126)を適用する
  3. 3パッチ適用が困難な場合は前段プロキシ側のヘッダー正規化設定を見直す

影響対象

Undertowを組み込むJavaアプリケーション利用者

対応不要な人

  • ✓Undertowを使用していない
  • ✓プロキシを介さない構成で運用している
  • ✓既にエラータを適用済み

補足

  • -単独のUndertow利用（プロキシなし）では影響が限定的です
CVEUndertowリクエストスマグリングJava

30秒で判断

  • 対応すべき人: Undertowをリバースプロキシやロードバランサーの背後で使用している人
  • 対応不要な人: Undertowを使用していない、またはベンダーの修正パッチを適用済みの人
  • 確認コマンド: アプリケーションサーバー（WildFly等）のUndertowバージョンとRed Hatエラータの適用状況を確認

概要

Undertowは、前段のプロキシとヘッダー名の解釈方法が異なるリクエストを特別に組み立てることで、HTTPリクエストスマグリングを引き起こされる脆弱性がありました。これにより、セキュリティ制御の回避や未許可リソースへのアクセスにつながる可能性があります。関連するCVE-2026-28369（ヘッダー行の先頭スペース処理の不備によるリクエストスマグリング）も同時に報告されています。

CVSSベクトル

項目内容
CVSSスコア8.7（High）
攻撃元ネットワーク経由（前段プロキシ構成が前提）
想定される影響リクエストスマグリングによるセキュリティ制御の回避

影響を受けるソフトウェア

製品備考
UndertowRed Hat製品にバンドルされる構成を含む

修正バージョンと回避策

Red Hatのエラータ（RHSA-2026:25125、RHSA-2026:25126）で修正パッチが提供されています。該当する製品の最新エラータを適用してください。アップグレードが困難な場合は、前段プロキシとUndertow間でヘッダーの正規化処理を統一することを検討してください。

関連リンク

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2026-28369Undertowの先頭スペース処理の不備によるリクエストスマグリングCVSS 8.7

参考リンク

Red Hat:https://access.redhat.com/security/cve/CVE-2026-28368
Bugzilla:https://bugzilla.redhat.com/show_bug.cgi?id=2443261
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。