« Volver al listado

CVE-2026-107937

Estado: En análisisAlta (7.5)—

En Apache CXF, el analizador de encabezados de la parte de datos adjuntos multipart/MTOM no aplicaba completamente los límites configurados attachment-max-header-size (300 caracteres por defecto) y attachment-headers-max-count (500 por defecto). El límite de tamaño se aplicaba solo a cada línea física, no a un valor de encabezado construido a partir de líneas de continuación ni a los valores combinados de un encabezado repetido. El límite de conteo se comprobaba con respecto al número de nombres de encabezado distintos, no al número total de líneas de encabezado.

Leer descripción completaMostrar menos

Un atacante remoto no autenticado podría enviar una solicitud multipart con encabezados de parte muy grandes plegados o repetidos. El servidor entonces asignaría memoria sin límite, causando una denegación de servicio.

Se recomienda a los usuarios actualizar a las versiones 4.2.4 o 4.1.9 o 3.6.13, que corrigen este problema.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector AV:N/PR:N/UI:N y descripción: un atacante remoto no autenticado envía multipart con cabeceras excesivas y la memoria crece sin límite, causando DoS.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Filter Network TrafficVulnerability ScanningPrivileged Account ManagementNetwork SegmentationLimit Access to Resource Over NetworkApplication Isolation and Sandboxing

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Apache — CXFAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107937",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107937",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-15T17:45:18.146774Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 7.5,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security@apache.org",
      "affectedData": [
        {
          "vendor": "Apache Software Foundation",
          "product": "Apache CXF",
          "versions": [
            {
              "status": "affected",
              "version": "4.2.0",
              "lessThan": "4.2.4",
              "versionType": "semver"
            },
            {
              "status": "affected",
              "version": "4.0.0",
              "lessThan": "4.1.9",
              "versionType": "semver"
            },
            {
              "status": "affected",
              "version": "0",
              "lessThan": "3.6.13",
              "versionType": "semver"
            }
          ],
          "packageURL": "pkg:maven/org.apache.cxf/cxf-core",
          "packageName": "org.apache.cxf:cxf-core",
          "collectionURL": "https://repo.maven.apache.org/maven2",
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-09T11:17:02.107",
  "references": [
    {
      "url": "https://lists.apache.org/thread.html/x9twtpv3d04qj83t6w9xkh9y2q28zztj",
      "source": "security@apache.org"
    },
    {
      "url": "http://www.openwall.com/lists/oss-security/2026/10/09/12",
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    }
  ],
  "vulnStatus": "Undergoing Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
      "description": [
        {
          "lang": "en",
          "value": "CWE-770"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "In Apache CXF, the parser for multipart/MTOM attachment part headers did not fully enforce the configured attachment-max-header-size (default 300 characters) and attachment-headers-max-count (default 500) limits. The size limit was applied only to each physical line, not to a header value built from continuation lines or to the combined values of a repeated header. The count limit was checked against the number of distinct header names, not the total number of header lines. A remote, unauthenticated attacker could send a multipart request with very large folded or repeated part headers. The server would then allocate memory without bound, causing a denial of service. \nUsers are recommended to upgrade to versions 4.2.4 or 4.1.9 or 3.6.13, which fix this issue."
    }
  ],
  "lastModified": "2026-10-15T18:17:24.767",
  "sourceIdentifier": "security@apache.org"
}