CVE-2026-87721 in Gerrit
Zusammenfassung
von VulDB • 25.09.2026
Uncontrolled Resource Consumption (CWE-400 / CWE-407) im ANTLR 3-Suchabfrageparser (QueryParser / Query.g) in Gerrit Code Review der Versionen 2.0.19 bis 3.12.9, 3.13.0 bis 3.13.8 und 3.14.0 bis 3.14.2 ermöglicht es einem nicht authentifizierten Remote-Angriff (oder einem authentifizierten Benutzer, wenn der anonyme Lesezugriff deaktiviert ist), einen anhaltenden Denial-of-Service-Bug auszulösen (CPU-Auslastung und Verhungern des HTTP Worker Thread Pools, was einen Serverneustart erfordert) durch speziell konstruierte Suchabfragen mit tief verschachtelten Klammern, die an Abfrageauswertungsendpunkte (/changes/?q=, /accounts/?q=, /groups/?query=, /projects/?query=, /Documentation/?q=, /changes/{id}/query?expression= oder SSH gerrit query) gesendet werden. Da syntaktische Prädikate in conditionOr und conditionAnd über conditionBase rekursiv aufrufen, ohne Memoization vor Capability- oder Sichtbarkeitsprüfungen, und Worker Threads nicht abbrechen, wenn der Client die Verbindung trennt, können eine kleine Anzahl von Anfragen (z.B. 25 Anfragen entsprechend dem Standardwert httpd.maxThreads) alle HTTP Worker Threads dauerhaft blockieren. Dieses Problem wurde in den Versionen Gerrit Code Review 3.12.10, 3.13.9 und 3.14.3 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.