Dans Eclipse Kura 5.4.0 à 5.6.2, l’API REST Service Listing V1 traite le corps JSON avant l’authentification et sans limite de taille, ce qui peut permettre à un attaquant distant non authentifié de provoquer un déni de service. Des requêtes JSON très volumineuses peuvent épuiser le tas Java, tandis qu’une imbrication profonde peut provoquer un débordement de pile; le correctif et la mesure de mitigation ne sont pas précisés dans les éléments fournis.
Source : NVD — CVE-2026-112186
Analyse technique
Le corps JSON est lu en mémoire et analysé avant la vérification de l’authentification. L’absence de limite de taille permet l’épuisement du tas; une récursion non bornée lors du traitement d’un JSON profondément imbriqué peut provoquer un StackOverflowError.
Impact, versions et correctif
Action recommandée
Mettre à niveau vers une version corrigée lorsqu’elle sera identifiée auprès du fournisseur; dans l’intervalle, limiter l’accès réseau à l’API Service Listing V1.
Sources
Priorisation DFS : P3 · 1 source(s).