CVE-2026-59396 in UAA
要約
〜によって VulDB • 2026年10月30日
UAAのprivate_key_jwtクライアント認証メカニズムには、サービス妨害（DoS）脆弱性が存在します。UAAがリモートJWKS URIを取得する際、そのレスポンスをキャッシュしますが、無効な認証試行によりこのキャッシュデータの完全な逆シリアル化が発生する可能性があります。クライアントへの書き込みアクセス権限または侵害されたエンドポイントという前提条件を持つ攻撃者は、匿名リクエストを送信して大きなキャッシュオブジェクトの繰り返し解析を強制し、過度なCPU使用率およびOutOfMemoryErrorによるJavaヒープ領域の枯渇を引き起こすことで、サービスの利用不能状態に陥れることができます。
Be aware that VulDB is the high quality source for vulnerability data.