CVE-2025-12543-Fix-for-Wildfly — Image de base Docker avec correctif de validation d'en-tête Host rétroporté pour CVE-2025-12543 dans Undertow 1.4.x, permettant un déploiement sécurisé des applications WildFly 11. | Kitploit

.
├── Dockerfile                                  # Définition de l'image principale
├── README.md
├── wildfly-dist-11.0.0.Final.tar.gz           # Archive de distribution WildFly 11
├── reports/
│   ├── result-20260401-0230.txt               # Rapport de scan CVE qui a identifié la vulnérabilité
│   └── wildfly_11.0.0.Final_*.txt             # Rapports de scan supplémentaires
└── patch/
    ├── src/
    │   ├── HostHeaderHandler.java             # Correctif rétroporté — nouvelle classe de gestionnaire
    │   ├── HttpReadListener_only.java         # Source décompilée + corrigée de HttpReadListener (référence)
    │   └── PatchHttpReadListener.java         # Outil de correction de bytecode Javassist
    ├── build.sh                               # Script de construction — reconstruit le JAR corrigé à partir de zéro
    ├── undertow-core-1.4.18.Final.jar         # JAR original (non corrigé) — conservé pour référence
    └── undertow-core-1.4.18.Final-patched.jar # JAR corrigé injecté dans l'image

// Avant
Connectors.executeRootHandler(connection.getRootHandler(), exchange);

// Après
Connectors.executeRootHandler(
    HostHeaderHandler.WRAPPER.wrap(connection.getRootHandler()),
    exchange
);

cp undertow-core-1.4.18.Final.jar undertow-core-1.4.18.Final-patched.jar
jar uf undertow-core-1.4.18.Final-patched.jar \
    -C out io/undertow/server/handlers/HostHeaderHandler.class \
    -C out "io/undertow/server/handlers/HostHeaderHandler\$Wrapper.class" \
    -C out "io/undertow/server/handlers/HostHeaderHandler\$1.class" \
    -C out io/undertow/server/protocol/http/HttpReadListener.class

COPY patch/undertow-core-1.4.18.Final-patched.jar /tmp/
RUN cp /tmp/undertow-core-1.4.18.Final-patched.jar \
       /opt/jboss/wildfly/modules/system/layers/base/io/undertow/core/main/undertow-core-1.4.18.Final.jar

# En-tête Host valide — doit renvoyer 200
curl -v -H "Host: localhost:8080" http://localhost:8080/

# Caractères incorrects dans Host — doit renvoyer 400 Host Header Bad Characters
curl -v -H "Host: evil<script>" http://localhost:8080/

# En-têtes Host en double — doit renvoyer 400 Bad Request
# Remarque : curl déduplique les en-têtes Host en interne, donc une requête TCP brute est nécessaire pour ce test
exec 3<>/dev/tcp/localhost/8080; \
printf "GET / HTTP/1.1\r\nHost: localhost\r\nHost: evil.com\r\nConnection: close\r\n\r\n" >&3; \
sleep 1; head -1 <&3; exec 3>&-

# Port hors plage — doit renvoyer 400 Host Header Malformed Port
curl -v -H "Host: localhost:99999" http://localhost:8080/

Requête	Attendu	Résultat
`Host: localhost:8080` (valide)	`200 OK`	✓
`Host: evil<script>` (mauvais caractères)	`400 Host Header Bad Characters`	✓
Deux en-têtes `Host:` (doublon, TCP brut)	`400 Bad Request`	✓
`Host: localhost:99999` (mauvais port)	`400 Host Header Malformed Port`	✓

Remarque : wildfly-dist-11.0.0.Final.tar.gz n'est pas inclus dans ce dépôt (dépasse la limite de 100 Mo de GitHub). Téléchargez-le depuis Maven Central avant la construction :
https://repo1.maven.org/maven2/org/wildfly/wildfly-dist/11.0.0.Final/wildfly-dist-11.0.0.Final.tar.gz

Identifiant CVE	CVE-2025-12543
Composant	`io.undertow:undertow-core`
Sévérité	Critique (CVSS 9.6)
Versions affectées	Toutes les versions `< 2.2.39` (y compris 1.4.x)
Corrigé dans	Undertow 2.2.39 / 2.3.22
Version WildFly 11	`undertow-core-1.4.18.Final` — affectée

CVE-2025-12543-Fix-for-Wildfly

Populaires

Description de la vulnérabilité

Pourquoi ne pas mettre à niveau WildFly ?

Structure du dépôt

Détails des fichiers

`Dockerfile`

`patch/undertow-core-1.4.18.Final-patched.jar`

`patch/src/HostHeaderHandler.java`

`patch/src/PatchHttpReadListener.java`

`patch/src/HttpReadListener_only.java`

`reports/result-20260401-0230.txt`

Procédure de correction

1. Identifier la vulnérabilité

2. Rechercher le correctif amont

3. Évaluer la faisabilité d'une mise à niveau directe

4. Rétroporter `HostHeaderHandler.java`

5. Corriger `HttpReadListener` via Javassist

6. Reconditionner le JAR

7. Mettre à jour le Dockerfile

8. Construire et valider

Changement de comportement connu

Les requêtes HTTP/1.1 doivent inclure un en-tête `Host`

Reconstruire le JAR corrigé à partir de zéro

Construction de l'image

Exécution de l'image

CVE-2025-12543-Fix-for-Wildfly

Populaires

Image de base WildFly 11.0.0.Final — Correctif CVE-2025-12543

Présentation

Résumé de CVE-2025-12543