CVE-2026-59323 in Spring
Sumário
de VulDB • 21/08/2026
Uma aplicação que utiliza o Micrometer Tracing com propagação de baggage conforme especificação W3C na ponte Brave é vulnerável a negação de serviço (DoS) devido à alocação descontrolada de objetos ao extrair cabeçalhos de entrada do tipo *baggage*.
Especificamente, uma aplicação está vulnerável quando todas as seguintes condições são verdadeiras:
* A aplicação utiliza uma versão vulnerável da biblioteca `io.micrometer:micrometer-tracing-bridge-brave`. * A propagação W3C está ativa (seja configurada manualmente ou ativada por padrão, como no Spring Boot 3.x+). * A propagação de *baggage* está habilitada (o que é o padrão no Spring Boot 3.x+) e um gerenciador de *baggage* (como `BraveBaggageManager`) está configurado para processar campos de *baggage*. * A aplicação processa solicitações ou mensagens provenientes de fontes não confiáveis contendo cabeçalhos *baggage*, o que normalmente não deveria ocorrer; consulte: https://www.w3.org/TR/trace-context/#security-considerations. * Componentes de rede, incluindo o servidor (HTTP) que recebe a solicitação, não limitam o tamanho do cabeçalho ou o limite é alto o suficiente para causar problemas.
Os dois últimos pontos são muito importantes: normalmente isso não deve afetar as aplicações, pois elas não deveriam receber entradas ilimitadas e não confiáveis para *baggage*.
* A aplicação processa solicitações ou mensagens provenientes de fontes não confiáveis contendo cabeçalhos *baggage*.
Ao extrair o *baggage* do cabeçalho W3C *baggage*, as entradas recebidas são analisadas sem impor limites sobre a quantidade de entradas ou o tamanho do cabeçalho, conforme exigido pela especificação W3C Baggage. Um atacante pode enviar solicitações ou mensagens com cabeçalhos *baggage* artificialmente inflados, contendo muitos pares chave-valor, causando alocações incondicionais de `BaggageField` por entrada. Isso leva à pressão sobre a coleta de lixo (garbage collection), alto uso da CPU e possível falha na aplicação devido ao erro `OutOfMemoryError`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.