Từ chối dịch vụ qua HTTP chưa xác thực trong Oracle Fusion Middleware Helidon

Lỗ hổng trong sản phẩm Helidon của Oracle Fusion Middleware (thành phần: helidon-webserver-static-content). Các phiên bản được hỗ trợ bị ảnh hưởng là 4.0.0-4.5.4. Lỗ hổng dễ khai thác cho phép kẻ tấn công chưa xác thực có quyền truy cập mạng qua HTTP xâm phạm Helidon. Tấn công thành công có thể dẫn đến khả năng trái phép làm Helidon bị treo hoặc crash lặp lại thường xuyên và dễ tái diễn (DOS hoàn toàn). Điểm cơ sở CVSS 3.1 là 7.5 (ảnh hưởng đến tính sẵn sàng). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H).

• Oracle Helidon: Thành phần helidon-webserver-static-content bị ảnh hưởng trong các phiên bản 4.0.0 đến 4.5.4, bao gồm hai đầu mút, theo dữ kiện affected chuẩn hóa và dòng CVE cụ thể trong advisory của Oracle.
• Advisory cập nhật sản phẩm Helidon ở phạm vi rộng hơn, gồm 3.0.0-3.2.20 và 4.0.0-4.5.4, nhưng dòng riêng của CVE này chỉ xác nhận 4.0.0-4.5.4. Không nên mở rộng phạm vi của CVE này sang nhánh 3.x chỉ dựa trên danh sách sản phẩm rộng hơn.
• Bản evidence được cung cấp không xác định bản phát hành Helidon cụ thể đã sửa lỗi.

Oracle xác định thành phần bị ảnh hưởng là helidon-webserver-static-content trong Helidon thuộc Oracle Fusion Middleware. Đường tấn công đi qua HTTP trên mạng và không yêu cầu xác thực, tương tác người dùng hoặc đặc quyền được nêu trong hồ sơ; hồ sơ chuẩn hóa đánh giá độ phức tạp tấn công là thấp. Yêu cầu HTTP do kẻ tấn công kiểm soát có thể kích hoạt điều kiện khiến Helidon bị treo hoặc crash lặp lại thường xuyên, dẫn đến từ chối dịch vụ hoàn toàn. Hồ sơ không nêu route, dạng request, thao tác static content hoặc chi tiết triển khai cụ thể làm kích hoạt lỗi, vì vậy không nên suy đoán payload hay endpoint. Phạm vi kỹ thuật được mô tả là ảnh hưởng đến tính sẵn sàng, không ghi nhận tác động đến tính bí mật hoặc tính toàn vẹn.

• Khả năng tiếp cận: Kẻ tấn công từ xa có thể tiếp cận qua mạng bằng HTTP.
• Xác thực và tương tác: Không cần xác thực và không cần người dùng thực hiện hành động.
• Độ phức tạp: Oracle mô tả lỗi là dễ khai thác; hồ sơ chuẩn hóa ghi nhận độ phức tạp thấp.
• Trạng thái khai thác: Hồ sơ đặt known_exploited ở trạng thái chưa xác định và đánh dấu public_exploit là false. Đây là trạng thái của hồ sơ, không chứng minh rằng lỗi không thể bị khai thác.

Chi tiết về request kích hoạt, exploit công khai hoặc dấu hiệu khai thác cụ thể không được cung cấp.

Tác động kỹ thuật được xác nhận là làm Helidon bị treo hoặc crash thường xuyên và có thể tái diễn, dẫn đến từ chối dịch vụ hoàn toàn. Điều kiện khai thác không yêu cầu xác thực, nên một endpoint HTTP có thể truy cập từ mạng không tin cậy làm tăng khả năng bị gián đoạn nếu thành phần bị ảnh hưởng được expose.

Hậu quả tổ chức có thể gồm mất khả năng phục vụ, gián đoạn ứng dụng phụ thuộc, cảnh báo vận hành và chi phí khôi phục hoặc restart. Không có bằng chứng trong hồ sơ cho thấy lỗi cho phép đọc dữ liệu, sửa dữ liệu hoặc nâng cao đặc quyền. Request kích hoạt, mức độ bền vững sau restart và hành vi phục hồi cụ thể vẫn chưa được công bố.

Lỗ hổng có thể làm gián đoạn khả năng phục vụ của các ứng dụng phụ thuộc vào Helidon, đặc biệt khi instance bị treo hoặc phải khởi động lại nhiều lần. Việc crash lặp lại có thể tạo thêm công việc khôi phục, làm giảm tính sẵn sàng và gây gián đoạn các dịch vụ phía sau Helidon.

Hồ sơ mô tả tác động ở tính sẵn sàng và không nêu việc đọc dữ liệu, sửa dữ liệu hoặc chiếm quyền. Mức độ ảnh hưởng thực tế phụ thuộc vào việc deployment có expose thành phần bị ảnh hưởng qua HTTP hay không và cách hệ thống xử lý việc restart; các giới hạn cấu hình này chưa được công bố.

1. Áp dụng bản vá bảo mật Oracle liên quan đến lỗi này trong Critical Security Patch Update tháng 9 năm 2026 và thực hiện theo tài liệu cung cấp bản vá, cài đặt của Helidon. Evidence hiện có không nêu bản phát hành Helidon cụ thể đã sửa lỗi, vì vậy không được coi một phiên bản chưa được xác minh là đã an toàn.
2. Kiểm kê các deployment Helidon, xác nhận thành phần helidon-webserver-static-content và ưu tiên xử lý các instance trong phạm vi 4.0.0 đến 4.5.4 có thể truy cập qua HTTP từ mạng không tin cậy.
3. Trước khi vá, giảm khả năng bị tấn công bằng cách hạn chế hoặc chặn các đường truy cập mạng cần thiết cho cuộc tấn công, nếu điều này phù hợp với kiến trúc vận hành. Đây là biện pháp giảm thiểu tổng quát của Oracle, không phải workaround riêng đã được xác nhận cho thành phần này.
4. Nếu đang chạy bản phát hành không còn thuộc phạm vi hỗ trợ, chuyển sang bản được hỗ trợ. Oracle lưu ý rằng các bản cũ hơn có thể cũng bị ảnh hưởng, nhưng evidence hiện có không ánh xạ cụ thể các bản đó vào CVE này.

1. Kiểm kê các triển khai Oracle Helidon và xác định nơi thành phần helidon-webserver-static-content được triển khai.
2. Kiểm tra metadata triển khai, dependency manifest hoặc thông tin build để đối chiếu phiên bản Helidon với phạm vi bị ảnh hưởng trong affected_summary.
3. Xác định các instance có HTTP từ mạng bên ngoài hoặc mạng không tin cậy đi tới được, bao gồm đường đi qua load balancer, reverse proxy và gateway.
4. Rà soát telemetry vận hành để tìm các đợt Helidon bị treo, crash lặp lại, restart bất thường hoặc suy giảm khả năng phục vụ có tương quan với lưu lượng HTTP. Đây là kiểm tra triệu chứng mang tính phòng ngừa, không phải IOC đã được Oracle xác nhận.
5. Không xem việc không có log crash là bằng chứng an toàn. Hồ sơ không cung cấp log signature, request signature hoặc IOC cụ thể.