Undertow HTTPサーバーのコアで発見された重大なセキュリティ欠陥により、WildFly、JBoss EAP、その他のプラットフォーム上で稼働する数百万のJavaアプリケーションが脅威にさらされています。
CVE-2025-12543として追跡されているこの脆弱性は、ユーザーをセッションハイジャック、キャッシュポイズニング、ならびに不正なネットワーク偵察攻撃のリスクにさらします。
Red Hatはこの問題に対処するための緊急セキュリティパッチを公開し、組織に対して直ちに更新するよう強く求めています。
この欠陥は、受信リクエストにおけるUndertowのHTTP Hostヘッダーの検証不備に起因します。
不正形式または悪意のあるHostヘッダーが十分に拒否されないまま処理され、認証なしでリモート攻撃者が悪用できる複数の攻撃ベクトルが生じます。
Red Hatはこの脆弱性をImportant（重要）相当の深刻度に分類しており、リモートから悪用可能である点と、エンタープライズJava環境全体に広範な影響が及ぶ点を反映しています。
この脆弱性により、主に3つの攻撃ベクトルが可能になります。 キャッシュポイズニング はキャッシュされたレスポンスを汚染してユーザーを悪意あるコンテンツへ誘導し、 内部ネットワークスキャン は機微なインフラの詳細やトポロジ情報を露出させます。
とりわけ重大なのは、 セッションハイジャック により攻撃者がユーザー認証情報を盗み、追加のアカウントや内部システムへの不正アクセスを得られることです。
根本原因は不適切な入力検証であり、機密性と完全性の深刻な侵害につながっています。
技術的な影響には、メモリアクセスに関する脆弱性、任意コード実行の可能性、ならびにシステム性能を低下させ得るリソース消費型攻撃が含まれます。
Red Hat JBoss Enterprise Application Platform 8.1および関連コンポーネントは、この脆弱性の影響を直接受けます。
2026年1月8日、Red HatはセキュリティエラッタRHSA-2026:0386およびRHSA-2026:0383を公開し、undertow-core、eap8-undertow、eap8-wildfly、ならびに関連依存関係に対する重要な修正を提供しました。
影響を受けるバージョンのWildFly、JBoss EAP、またはUndertowに依存するその他のJavaアプリケーションを使用している組織は、利用可能なセキュリティパッチを直ちに適用すべきです。
Red Hatは確認しており、使いやすさと安定性に関するプロダクトセキュリティ基準を満たす代替の緩和策は存在しないため、パッチ適用が唯一実行可能な修復戦略となります。
セキュリティチームは、深刻度が重要であること、リモート悪用リスクがあること、認証要件がないことを踏まえ、本番環境へのパッチ適用を優先すべきです。
これらの更新の適用を遅らせると、エンタープライズアプリケーションがセッションハイジャックや不正なシステムアクセスに対して脆弱なままとなります。
翻訳元: https://cyberpress.org/undertow-http-server-vulnerability/