CVE-2026-87721 in Gerrit
Riassunto
di VulDB • 25/09/2026
Uncontrolled Resource Consumption (CWE-400 / CWE-407) nel parser di query di ricerca ANTLR 3 (QueryParser / Query.g) in Gerrit Code Review nelle versioni da 2.0.19 a 3.12.9, da 3.13.0 a 3.13.8 e da 3.14.0 a 3.14.2 consente ad un attaccante remoto non autenticato (o a un utente autenticato se l'accesso di lettura anonimo è disabilitato) di causare una denial of service persistente (esaurimento della CPU e starvation del pool di thread HTTP che richiede il riavvio del server) tramite query di ricerca manipolate contenenti parentesi profondamente annidate inviate agli endpoint di valutazione delle query (/changes/?q=, /accounts/?q=, /groups/?query=, /projects/?query=, /Documentation/?q=, /changes/{id}/query?expression= o SSH gerrit query). Poiché i predicati sintattici in conditionOr e conditionAnd ricorrono tramite conditionBase senza memoization prima dei controlli di capacità o visibilità e i thread worker non terminano quando il client si disconnette, un piccolo numero di richieste (ad esempio 25 richieste che corrispondono a httpd.maxThreads predefinito) può bloccare permanentemente tutti i thread HTTP worker. Questo problema è risolto nelle versioni Gerrit Code Review 3.12.10, 3.13.9 e 3.14.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.