WildFly 11.0.0.Final बेस इमेज — CVE-2025-12543 पैच

अवलोकन

यह रिपॉजिटरी एक Docker बेस इमेज प्रदान करती है जो WildFly 11.0.0.Final पर बनाई गई है, जिसमें CVE-2025-12543 के लिए एक बैकपोर्टेड फिक्स है, जो Undertow में एक महत्वपूर्ण Host हेडर वैलिडेशन भेद्यता है।

यह इमेज सहकर्मियों को बेस के रूप में प्रदान करने के लिए है। वे इसके ऊपर अपना .war एप्लिकेशन और standalone.xml तैनात कर सकते हैं।

---

CVE-2025-12543 सारांश

फ़ील्ड	विवरण
CVE ID	CVE-2025-12543
घटक	io.undertow:undertow-core
गंभीरता	क्रिटिकल (CVSS 9.6)
प्रभावित संस्करण	सभी संस्करण < 2.2.39 (1.4.x सहित)
फिक्स किया गया	Undertow 2.2.39 / 2.3.22
WildFly 11 संस्करण	undertow-core-1.4.18.Final — प्रभावित

भेद्यता विवरण

Undertow आने वाले HTTP अनुरोधों में Host हेडर को ठीक से मान्य नहीं करता है। विकृत या दुर्भावनापूर्ण Host हेडर वाले अनुरोधों को अस्वीकार किए बिना संसाधित किया जाता है, जिससे निम्न सक्षम होता है:

• कैश पॉइज़निंग
• सत्र अपहरण
• आंतरिक नेटवर्क स्कैनिंग
• क्रॉस-टेनेंट डेटा मिक्सिंग / ट्रस्ट-बाउंड्री बायपास

WildFly को अपग्रेड क्यों नहीं किया गया?

अन्य उपयोगकर्ता अभी भी WildFly 11 पर हैं, और अपग्रेड करने के लिए वर्तमान में कोई संसाधन या योजना नहीं है। फिक्स को सीधे Undertow 1.4.18.Final JAR में बैकपोर्ट किया गया था।

---

रिपॉजिटरी संरचना

.
├── Dockerfile                                  # मुख्य इमेज परिभाषा
├── README.md
├── wildfly-dist-11.0.0.Final.tar.gz           # WildFly 11 वितरण संग्रह
├── reports/
│   ├── result-20260401-0230.txt               # CVE स्कैन रिपोर्ट जिसने भेद्यता की पहचान की
│   └── wildfly_11.0.0.Final_*.txt             # अतिरिक्त स्कैन रिपोर्ट
└── patch/
    ├── src/
    │   ├── HostHeaderHandler.java             # बैकपोर्टेड फिक्स — नया हैंडलर वर्ग
    │   ├── HttpReadListener_only.java         # डिकंपाइल्ड + पैच किया गया HttpReadListener स्रोत (संदर्भ)
    │   └── PatchHttpReadListener.java         # Javassist बाइटकोड पैचर टूल
    ├── build.sh                               # बिल्ड स्क्रिप्ट — स्क्रैच से पैच किया गया JAR पुनर्निर्माण करता है
    ├── undertow-core-1.4.18.Final.jar         # मूल (अपैच) JAR — संदर्भ के लिए रखा गया
    └── undertow-core-1.4.18.Final-patched.jar # पैच किया गया JAR इमेज में इंजेक्ट किया गया

फ़ाइल विवरण

Dockerfile

अंतिम इमेज बनाता है। यह:

1. बेस के रूप में bitnamilegacy/java:1.8.432-7-debian-12-r2 (OpenJDK 1.8.0_432) का उपयोग करता है
2. WildFly 11 को /opt/jboss/wildfly में निकालता है
3. मूल undertow-core-1.4.18.Final.jar को पैच किए गए संस्करण से बदलता है
4. standalone.sh -b 0.0.0.0 (सभी इंटरफेस से बाइंड) के माध्यम से WildFly शुरू करता है

patch/undertow-core-1.4.18.Final-patched.jar

पैच किया गया Undertow JAR। यह दो परिवर्तनों को छोड़कर मूल के समान है:

• जोड़ा गया: io/undertow/server/handlers/HostHeaderHandler.class (और इसके आंतरिक वर्ग)
• संशोधित: io/undertow/server/protocol/http/HttpReadListener.class — अनुरोध पाइपलाइन में HostHeaderHandler इंजेक्ट करता है

patch/src/HostHeaderHandler.java

बैकपोर्टेड Host हेडर वैलिडेशन हैंडलर। Undertow PR #1857 (UNDERTOW-2656) से पोर्ट किया गया।

सभी स्थिरांक (IP4_EXACT, IP6_EXACT, वर्ण तालिकाएँ) स्व-निहित हैं — Undertow 2.x में जोड़े गए API पर कोई निर्भरता नहीं। प्रत्येक HTTP अनुरोध पर, यह मान्य करता है:

• Host हेडर मौजूद है (HTTP/1.1 के लिए आवश्यक)
• बिल्कुल एक Host हेडर (कोई डुप्लिकेट नहीं)
• पोर्ट संख्यात्मक है और 1–65535 की सीमा में है
• IP शाब्दिक (IPv4, IPv6, IPvFuture) अच्छी तरह से बने हैं
• होस्टनाम वर्ण मान्य RFC 3986 reg-name वर्ण हैं
• किसी भी उल्लंघन पर 400 Bad Request के साथ अस्वीकार करता है

patch/src/PatchHttpReadListener.java

एक-शॉट Javassist बाइटकोड पैचर। यह मूल JAR से HttpReadListener लोड करता है और बदलता है:

// पहले
Connectors.executeRootHandler(connection.getRootHandler(), exchange);

// बाद में
Connectors.executeRootHandler(
    HostHeaderHandler.WRAPPER.wrap(connection.getRootHandler()),
    exchange
);

यह HostHeaderHandler को स्वचालित रूप से प्रत्येक HTTP अनुरोध में इंजेक्ट करता है, बिना HttpReadListener के पूर्ण पुनर्संकलन की आवश्यकता के (जो जटिल आंतरिक वर्गों और xnio आंतरिक पर निर्भर करता है)।

patch/src/HttpReadListener_only.java

Undertow 1.4.18.Final से मूल HttpReadListener का डिकंपाइल्ड स्रोत, जो इंजेक्शन बिंदु का पता लगाने के लिए संदर्भ के रूप में उपयोग किया जाता है। इस स्रोत का पैच किया गया संस्करण भी ऑडिट उद्देश्यों के लिए रखा गया है।

reports/result-20260401-0230.txt

CVE स्कैन रिपोर्ट (2026-04-01 को उत्पन्न) जिसने undertow-core-1.4.18.Final में CVE-2025-12543 की पहचान की:

/opt/jboss/wildfly/modules/system/layers/base/io/undertow/core/main/undertow-core-1.4.18.Final.jar

---

पैच प्रक्रिया

1. भेद्यता की पहचान करें

स्कैन रिपोर्ट (result-20260401-0230.txt) ने पुष्टि की कि undertow-core-1.4.18.Final CVE-2025-12543 (CVSS 9.6) से प्रभावित है।

2. अपस्ट्रीम फिक्स पर शोध करें

फिक्स Undertow PR #1857 में है, जिसे main (2026-01-09) में मर्ज किया गया और 2.2.x और 2.3.x में बैकपोर्ट किया गया। फिक्स HostHeaderHandler.java जोड़ता है और प्रत्येक अनुरोध पर Host हेडर को मान्य करने के लिए इसे HttpReadListener में वायर करता है।

3. प्रत्यक्ष अपग्रेड व्यवहार्यता का आकलन करें

Undertow 1.4.x → 2.2.x एक प्रमुख संस्करण छलांग है जिसमें ब्रेकिंग API परिवर्तन हैं। WildFly 11 JBoss Modules के माध्यम से Undertow 1.4.x से कसकर जुड़ा हुआ है। सीधे JAR स्वैप से स्टार्टअप पर ClassNotFoundException / NoSuchMethodError होगा।

4. HostHeaderHandler.java बैकपोर्ट करें

Undertow 1.4.18.Final के साथ संगत HostHeaderHandler.java का एक स्व-निहित संस्करण लिखें:

• सभी regex स्थिरांकों को इनलाइन करें (IP4_EXACT, IP6_EXACT) — 1.4.x NetworkUtils में उपलब्ध नहीं
• exchange.isHostIncludedInRequestURI() को हटाएं — 1.4.x HttpServerExchange में उपलब्ध नहीं
• सभी वैलिडेशन तर्क को अपस्ट्रीम फिक्स के समान रखें

WildFly इमेज के अंदर Undertow 1.4.18 + xnio क्लासपाथ के विरुद्ध संकलित करें:

javac -cp undertow-core-1.4.18.Final.jar:xnio-api-3.5.4.Final.jar:jboss-logging-3.3.1.Final.jar \
      -d out HostHeaderHandler.java

5. Javassist के माध्यम से HttpReadListener को पैच करें

इंजेक्शन बिंदु का पता लगाने के लिए Procyon के साथ HttpReadListener को डिकंपाइल करें:

Connectors.executeRootHandler(this.connection.getRootHandler(), httpServerExchange);

handleEventWithNoRunningRequest() में स्थित है।

क्योंकि HttpReadListener में अनाम आंतरिक वर्ग ($1, $2, $3) हैं जिन्हें डिकंपाइल्ड स्रोत से संदर्भित नहीं किया जा सकता है, पूर्ण पुनर्संकलन संभव नहीं है। इसके बजाय, बाइटकोड को सीधे इंस्ट्रूमेंट करने के लिए Javassist (PatchHttpReadListener.java) का उपयोग करें — रूट हैंडलर को HostHeaderHandler.WRAPPER के साथ लपेटने के लिए executeRootHandler कॉल को बदलें।

java -cp javassist.jar:undertow-core-1.4.18.Final.jar:out \
     PatchHttpReadListener undertow-core-1.4.18.Final.jar out/

6. JAR को पुनः पैकेज करें

मूल JAR को कॉपी करें और पैच किए गए/नए क्लास फ़ाइलों को इंजेक्ट करें:

cp undertow-core-1.4.18.Final.jar undertow-core-1.4.18.Final-patched.jar
jar uf undertow-core-1.4.18.Final-patched.jar \
    -C out io/undertow/server/handlers/HostHeaderHandler.class \
    -C out "io/undertow/server/handlers/HostHeaderHandler\$Wrapper.class" \
    -C out "io/undertow/server/handlers/HostHeaderHandler\$1.class" \
    -C out io/undertow/server/protocol/http/HttpReadListener.class

7. Dockerfile अपडेट करें

पैच किए गए JAR के लिए एक COPY जोड़ें और इमेज के अंदर मूल को बदलें:

COPY patch/undertow-core-1.4.18.Final-patched.jar /tmp/
RUN cp /tmp/undertow-core-1.4.18.Final-patched.jar \
       /opt/jboss/wildfly/modules/system/layers/base/io/undertow/core/main/undertow-core-1.4.18.Final.jar

8. बिल्ड और मान्य करें

docker build -t wildfly:11.0.0.Final-patched .

सत्यापन: