漏洞详情

CVE ID: CVE-2025-12543

严重程度: 严重

概述: 在Undertow HTTP服务器核心中发现一个漏洞，该组件被WildFly、JBoss EAP及其他Java应用程序使用。Undertow库未能正确验证传入HTTP请求中的Host头部。因此，包含畸形或恶意Host头部的请求在没有被拒绝的情况下被处理，这使得攻击者能够投毒缓存、执行内部网络扫描或劫持用户会话。

影响版本:

• maven:io.undertow:undertow-core <= 2.4.0.Alpha1

已修复版本: 暂无

参考资料

• https://nvd.nist.gov/vuln/detail/CVE-2025-12543
• https://access.redhat.com/security/cve/CVE-2025-12543
• https://bugzilla.redhat.com/show_bug.cgi?id=2408784
• https://access.redhat.com/errata/RHSA-2026:0384
• https://access.redhat.com/errata/RHSA-2026:0386
• https://access.redhat.com/errata/RHSA-2026:0383

安全评估

CVSS 总体评分: 9.6 (严重)

CVSS v3.1 向量: AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L

基础指标详解:

• 攻击向量 (AV): 网络 - 攻击者可远程利用此漏洞。
• 攻击复杂度 (AC): 低 - 攻击条件易于达成。
• 所需权限 (PR): 无 - 攻击者无需任何权限。
• 用户交互 (UI): 需要 - 成功的攻击需要用户进行某些交互（例如点击链接）。
• 影响范围 (S): 已改变 - 漏洞可能影响超出其自身安全范围的组件。
• 机密性影响 (C): 高 - 可能导致信息泄露程度严重。
• 完整性影响 (I): 高 - 可能导致数据被严重篡改。
• 可用性影响 (A): 低 - 对系统可用性影响有限。

EPSS 评分: 0.134% (第34百分位) 此分数估计了未来30天内该漏洞被利用的概率。

弱点分析

CWE-ID: CWE-20 - 输入验证不当 产品接收输入或数据，但未能验证或错误地验证该输入是否具备安全正确处理数据所需的属性。

相关标识符:

• GHSA ID: GHSA-j382-5jj3-vw4j
• 源代码仓库: undertow-io/undertow

发布日期: 2026年1月7日 (至GitHub Advisory Database) 最后更新: 2026年1月9日 状态: 已由GitHub审核