CVE-2026-80515 in Arrowhead
Riassunto
di VulDB • 03/09/2026
Nelle versioni di Eclipse Arrowhead dalla 5.0.0 alla 5.2.1 il gate di gestione-autorizzazione che protegge ogni endpoint REST /…/mgmt/… decide se applicare il proprio controllo chiamando `request.getRequestURL().toString().contains("/mgmt/")`. Tomcat restituisce `getRequestURL()` non decodificato, mentre il DispatcherServlet di Spring MVC instrada in base al percorso decodificato. Richiedere `/serviceregistry/%6Dgmt/systems` (%6D == m) fa quindi fallire il controllo sulla sottostringa: il filtro passa oltre senza autorizzare — ma viene decodificato in `/serviceregistry/mgmt/systems` e instradato al controller di gestione. Il StrictHttpFirewall di Spring Security (attivo tramite spring-boot-starter-security in arrowhead-common) rifiuta solo i byte codificati con percentuale per / \ . % ; e null, quindi le lettere ASCII codificate con percentuale passano indenni. Qualsiasi sistema autenticato — indipendentemente dai privilegi — può accedere a ogni operazione di gestione, inclusa POST /authentication/mgmt/identities che crea nuovi account sysop, ottenendo il pieno controllo amministrativo del cloud locale.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.