CVE-2025-12543-Fix-for-Wildfly — Базовый образ Docker с обратно портированным исправлением проверки заголовка Host для CVE-2025-12543 в Undertow 1.4.x, обеспечивающий безопасное развертывание приложений WildFly 11. | Kitploit

.
├── Dockerfile                                  # Основное описание образа
├── README.md
├── wildfly-dist-11.0.0.Final.tar.gz           # Дистрибутив WildFly 11
├── reports/
│   ├── result-20260401-0230.txt               # Отчёт сканирования CVE, выявивший уязвимость
│   └── wildfly_11.0.0.Final_*.txt             # Дополнительные отчёты сканирования
└── patch/
    ├── src/
    │   ├── HostHeaderHandler.java             # Бэкпортированное исправление — новый класс обработчика
    │   ├── HttpReadListener_only.java         # Декомпилированный и пропатченный исходный код HttpReadListener (справочно)
    │   └── PatchHttpReadListener.java         # Инструмент для патчинга байт-кода с помощью Javassist
    ├── build.sh                               # Скрипт сборки — пересобирает пропатченный JAR с нуля
    ├── undertow-core-1.4.18.Final.jar         # Оригинальный (не пропатченный) JAR — сохранён для справки
    └── undertow-core-1.4.18.Final-patched.jar # Пропатченный JAR, внедряемый в образ

// Было
Connectors.executeRootHandler(connection.getRootHandler(), exchange);

// Стало
Connectors.executeRootHandler(
    HostHeaderHandler.WRAPPER.wrap(connection.getRootHandler()),
    exchange
);

cp undertow-core-1.4.18.Final.jar undertow-core-1.4.18.Final-patched.jar
jar uf undertow-core-1.4.18.Final-patched.jar \
    -C out io/undertow/server/handlers/HostHeaderHandler.class \
    -C out "io/undertow/server/handlers/HostHeaderHandler\$Wrapper.class" \
    -C out "io/undertow/server/handlers/HostHeaderHandler\$1.class" \
    -C out io/undertow/server/protocol/http/HttpReadListener.class

COPY patch/undertow-core-1.4.18.Final-patched.jar /tmp/
RUN cp /tmp/undertow-core-1.4.18.Final-patched.jar \
       /opt/jboss/wildfly/modules/system/layers/base/io/undertow/core/main/undertow-core-1.4.18.Final.jar

# Корректный заголовок Host — должен вернуть 200
curl -v -H "Host: localhost:8080" http://localhost:8080/

# Недопустимые символы в Host — должен вернуть 400 Host Header Bad Characters
curl -v -H "Host: evil<script>" http://localhost:8080/

# Дублирующиеся заголовки Host — должен вернуть 400 Bad Request
# Примечание: curl внутренне дедуплицирует заголовки Host, поэтому для этого теста требуется сырой TCP-запрос
exec 3<>/dev/tcp/localhost/8080; \
printf "GET / HTTP/1.1\r\nHost: localhost\r\nHost: evil.com\r\nConnection: close\r\n\r\n" >&3; \
sleep 1; head -1 <&3; exec 3>&-

# Порт вне диапазона — должен вернуть 400 Host Header Malformed Port
curl -v -H "Host: localhost:99999" http://localhost:8080/

Запрос	Ожидаемый результат	Фактический результат
`Host: localhost:8080` (корректный)	`200 OK`	✓
`Host: evil<script>` (недопустимые символы)	`400 Host Header Bad Characters`	✓
Два заголовка `Host:` (дубликат, сырой TCP)	`400 Bad Request`	✓
`Host: localhost:99999` (некорректный порт)	`400 Host Header Malformed Port`	✓

# Теперь это будет отклонено с 400:
GET /health HTTP/1.1
Connection: close

# Это корректно и будет работать:
GET /health HTTP/1.1
Host: your-server:8080
Connection: close

Примечание: wildfly-dist-11.0.0.Final.tar.gz не включён в этот репозиторий (превышает лимит GitHub в 100 МБ). Загрузите его с Maven Central перед сборкой:
https://repo1.maven.org/maven2/org/wildfly/wildfly-dist/11.0.0.Final/wildfly-dist-11.0.0.Final.tar.gz

CVE ID	CVE-2025-12543
Компонент	`io.undertow:undertow-core`
Серьёзность	Критическая (CVSS 9.6)
Затронутые версии	Все версии `< 2.2.39` (включая 1.4.x)
Исправлено в	Undertow 2.2.39 / 2.3.22
Версия WildFly 11	`undertow-core-1.4.18.Final` — затронута

CVE-2025-12543-Fix-for-Wildfly

Популярное

Описание уязвимости

Почему не обновлять WildFly?

Структура репозитория

Детали файлов

`Dockerfile`

`patch/undertow-core-1.4.18.Final-patched.jar`

`patch/src/HostHeaderHandler.java`

`patch/src/PatchHttpReadListener.java`

`patch/src/HttpReadListener_only.java`

`reports/result-20260401-0230.txt`

Процедура патча

1. Выявление уязвимости

2. Исследование официального исправления

3. Оценка возможности прямого обновления

4. Бэкпорт `HostHeaderHandler.java`

5. Патч `HttpReadListener` через Javassist

6. Переупаковка JAR

7. Обновление Dockerfile

8. Сборка и проверка

Известное изменение поведения

HTTP/1.1 запросы должны содержать заголовок `Host`

Пересборка пропатченного JAR с нуля

Сборка образа

Запуск образа

CVE-2025-12543-Fix-for-Wildfly

Популярное

WildFly 11.0.0.Final Базовый образ — исправление CVE-2025-12543

Обзор

CVE-2025-12543 Сводка