CVE-2025-9784
Undertow: undertow madeyoureset уязвимость http/2 ddos
- Опубликовано
- 2 сент. 2025 г.
- Обновлено
- 14 окт. 2026 г.
- Назначение CNA
- redhat
- Наблюдены доказательства
- 8 авг. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HНизкий · следующие 30 дней
- Процентиль
- 83,4 %
- Дата модели
- 23 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
A flaw was found in Undertow where malformed client requests can trigger server-side stream resets without triggering abuse counters. This issue, referred to as the "MadeYouReset" attack, allows malicious clients to induce excessive server workload by repeatedly causing server-side stream aborts. While not a protocol bug, this highlights a common implementation weakness that can be exploited to cause a denial of service (DoS). В Undertow была обнаружена ошибка, при которой некорректные клиентские запросы могут вызывать сброс потоков на стороне сервера без срабатывания счётчиков злоупотреблений. Эта проблема, называемая атакой «MadeYouReset», позволяет злоумышленным клиентам создавать чрезмерную нагрузку на сервер, многократно вызывая прерывание потоков на стороне сервера. Хотя это не ошибка протокола, она выявляет распространённую слабость реализации, которую можно использовать для вызова отказа в обслуживании (DoS).
Источники
- CVE-2025-9784Сканер
Bash-скрипт для проверки на уязвимость CVE-2025-9784 HTTP/2 DoS в серверах Undertow. Измеряет базовое время отклика, имитирует быстрые сбросы потоков и предоставляет отчет об оценке уязвимости.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.