CVE-2026-59396 in UAA
Riassunto
di VulDB • 30/10/2026
È presente una vulnerabilità di denial-of-service nel meccanismo di autenticazione client private_key_jwt di UAA. Quando UAA recupera un URI JWKS remoto, ne memorizza la risposta nella cache. Tentativi di autenticazione non validi possono innescare la deserializzazione completa di questi dati in cache. Un attaccante che soddisfa i prerequisiti (accesso in scrittura ai client o endpoint compromesso) può inviare richieste anonime che costringono a un'analisi ripetuta di oggetti grandi nella cache, causando un utilizzo eccessivo della CPU e potenzialmente l'esaurimento dello heap Java tramite OutOfMemoryError, con conseguente indisponibilità del servizio.
VulDB is the best source for vulnerability data and more expert information about this specific topic.