一、 漏洞 CVE-2024-1635 基础信息
漏洞标题
Undertow：使用wildfly-http-client协议关闭几个连接后发生内存溢出错误
来源：AIGC 神龙大模型
漏洞描述信息
在Undertow中发现了一个漏洞。此漏洞影响了支持wildfly-http-client协议的服务器。当恶意用户打开并关闭与服务器HTTP端口的连接，然后立即关闭连接时，服务器最终将在某个时刻耗尽内存和打开文件的限制，具体取决于可用内存的数量。 在HTTP升级到远程通信时，WriteTimeoutStreamSinkConduit如果RemotingConnection被远程服务器的ServerConnectionOpenListener关闭，则会泄漏连接。由于远程连接起源于Undertow作为HTTP升级的一部分，因此远程连接有一个外部层。当在连接打开过程中关闭连接时，此连接对最外层一无所知。因此，在这种情况下，Undertow的WriteTimeoutStreamSinkConduit没有收到关于已关闭连接的通知。因为WriteTimeoutStreamSinkConduit创建了一个超时任务，整个依赖树会通过该任务泄漏，该任务被添加到XNIO WorkerThread中。所以，workerThread指向Undertow的通道，其中包含连接并导致泄漏。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
来源：AIGC 神龙大模型
漏洞类别
在移除最后引用时对内存的释放不恰当(内存泄露)
来源：AIGC 神龙大模型
漏洞标题
Undertow: out-of-memory error after several closed connections with wildfly-http-client protocol
来源：美国国家漏洞数据库 NVD
漏洞描述信息
A vulnerability was found in Undertow. This vulnerability impacts a server that supports the wildfly-http-client protocol. Whenever a malicious user opens and closes a connection with the HTTP port of the server and then closes the connection immediately, the server will end with both memory and open file limits exhausted at some point, depending on the amount of memory available. At HTTP upgrade to remoting, the WriteTimeoutStreamSinkConduit leaks connections if RemotingConnection is closed by Remoting ServerConnectionOpenListener. Because the remoting connection originates in Undertow as part of the HTTP upgrade, there is an external layer to the remoting connection. This connection is unaware of the outermost layer when closing the connection during the connection opening procedure. Hence, the Undertow WriteTimeoutStreamSinkConduit is not notified of the closed connection in this scenario. Because WriteTimeoutStreamSinkConduit creates a timeout task, the whole dependency tree leaks via that task, which is added to XNIO WorkerThread. So, the workerThread points to the Undertow conduit, which contains the connections and causes the leak.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
未加控制的资源消耗(资源穷尽)
来源：美国国家漏洞数据库 NVD
漏洞标题
Red Hat Undertow 资源管理错误漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Red Hat Undertow是美国红帽（Red Hat）公司的一款基于Java的嵌入式Web服务器，是Wildfly（Java应用服务器）默认的Web服务器。 Red Hat Undertow 存在资源管理错误漏洞，该漏洞源于使用wildfly-http-client协议多次关闭连接后出现内存不足错误。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
资源管理错误
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-1635 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2024-1635 的情报信息