CVE-2025-2240

چکیده

آسیب‌پذیری کمبود حافظه (OOM) در SmallRye Fault Tolerance شناسایی شده است که هنگام فراخوانی از راه دور URI مربوط به metrics، هر درخواست یک آبجکت جدید ایجاد می‌کند و ممکن است منجر به انکار سرویس (DoS) شود.

توضیحات

آسیب‌پذیری CVE-2025-2240 در SmallRye Fault Tolerance، فریم ورکی برای مدیریت تحمل خطا در MicroProfile، شناسایی شده است. این ضعف مرتبط با کمبود حافظه (Out-of-Memory ,OOM) است که می‌تواند از طریق درخواست‌های از راه دور فعال شود. هر بار که URI مربوط به metrics فراخوانی می‌شود، یک آبجکت جدید در meterMap ایجاد می‌گردد و در صورت تکرار یا حجم بالای درخواست‌ها، مصرف حافظه به حدی می‌رسد که ممکن است سیستم به حالت کمبود حافظه دچار شود و در نهایت باعث انکار سرویس (DoS) گردد.

این ضعف به دلیل عدم کنترل صحیح تخصیص حافظه و مدیریت ناصحیح آبجکت داخلی رخ می‌دهد و مطابق با CWE-1325 طبقه بندی می شود.

از آنجا که بهره‌برداری از این آسیب‌پذیری از طریق شبکه و بدون نیاز به احراز هویت انجام می‌شود، شدت آن توسط Red Hat و سایر منابع امنیتی بالا ارزیابی شده است و می‌تواند به راحتی سیستم را از دسترس خارج کند.

پیامدهای این آسیب‌پذیری شامل نقض شدید در دسترس‌پذیری با مصرف بیش از حد حافظه و اختلال در عملکرد اپلیکیشن‌های سازمانی و نیاز به راه اندازی مجدد دستی است.

به طور کلی، این آسیب‌پذیری نشان‌دهنده اهمیت کنترل حافظه در کتابخانه‌های مدیریت خطا و توجه ویژه به ورودی‌های خارجی مانند URI metrics است.

نسخه‌های پچ شده و امن شامل SmallRye Fault Tolerance 6.4.2 و 6.9.0 هستند که در به‌روزرسانی‌های Red Hat build of Apache Camel 4.8 برای Spring Boot و Quarkus 3.15 و Red Hat build of Quarkus 3.15.4 اعمال شده‌اند. به همین دلیل، اعمال فوری این به‌روزرسانی‌ها تنها راهکار مطمئن برای جلوگیری از بهره‌برداری از این آسیب‌پذیری است.

CVSS

لیست محصولات آسیب پذیر

لیست محصولات بروز شده

استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که Red Hat را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

نتیجه گیری

این آسیب‌پذیری با شدت بالا در SmallRye Fault Tolerance، امکان کمبود حافظه (OOM) و انکار سرویس (DoS) از راه دور از طریق فراخوانی مکرر metrics URI را فراهم می‌کند و پایداری اپلیکیشن‌های Java EE را تهدید می‌کند. برای کاهش ریسک و جلوگیری از بهره‌برداری، اقدامات زیر ضروری است:

• به‌روزرسانی فوری: پکیج smallrye-fault-tolerance-core را به نسخه‌های 6.4.2 و 6.9.0 یا بالا تر از طریق Maven/Gradle یا RHSA-2025:3376/3541/3543 به‌روزرسانی کنید. فایل‌های به‌روزرسانی را تنها از مخازن رسمی Red Hat یا GitHub دانلود نمایید.
• راهکارهای کاهش ریسک: (Mitigations) اندپوینت /q/metrics را با فایروال وب محدود یا rate-limit کنید، دسترسی به Prometheus metrics را به IPهای مجاز محدود نمایید و meterMap را با یک ConcurrentHashMap محدود (bounded) جایگزین کنید
• محدودسازی دسترسی: احراز هویت (Basic Auth) را برای اندپوینت metrics فعال کنید، اصل حداقل دسترسی (Least Privilege) را اعمال نمایید و درخواست‌های مکرر را با IP blocking کنترل کنید.
• نظارت بر لاگ ها: لاگ‌های JVM (استفاده از حافظه heap) و metrics را با ابزارهایی مانند ELK Stack یا Prometheus بررسی کنید و از سیستم‌های SIEM برای شناسایی flood درخواست‌ها به /q/metrics استفاده نمایید.
• ایزوله‌سازی محیط: اپلیکیشن‌های Quarkus را در کانتینرهای Docker با محدودیت حافظه (ulimit -m) اجرا کنید و دسترسی به heap را با JVM flags مانند -XX:MaxMetaspaceSize محدود نمایید.
• اسکن و تست امنیتی: اپ را با ابزارهایی مانند OWASP ZAP یا Dependency-Check اسکن کنید و تست‌های نفوذ روی سناریوهای metrics flood انجام دهید.
• آموزش: توسعه‌دهندگان و مدیران را در مورد ریسک‌های OOM در Fault Tolerance، اهمیت به‌روزرسانی‌های SmallRye و تشخیص الگوهای DoS آموزش دهید.

اجرای این اقدامات ریسک DoS را به حداقل رسانده و امنیت اپلیکیشن‌های مبتنی بر SmallRye را در برابر حملات شبکه‌ای تقویت می‌کند.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)
این ضعف اجازه بهره‌برداری از راهِ دور و بدون احراز هویت را می‌دهد: مهاجم با فرستادن درخواست‌های شبکه‌ای هدفمند به اندپوینت metrics مثلاً /q/metrics می‌تواند متریک‌ها را مکرراً فراخوانی کند و جریان ایجاد اشیاء در meterMap را آغاز کند

Impact (TA0040)
پیامد اصلی قطع سرویس (DoS) و در بدترین حالت از دست رفتن دسترسی کاربران به اپلیکیشن است؛ در صورتی که exploit عمیق‌تر شود، ممکن است محرمانگی و یکپارچگی نیز به خطر افتد

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-2240
2. https://www.cvedetails.com/cve/CVE-2025-2240/
3. https://bugzilla.redhat.com/show_bug.cgi?id=2351452
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-2240
5. https://vuldb.com/?id.299514
6. https://access.redhat.com/errata/RHSA-2025:3376
7. https://access.redhat.com/errata/RHSA-2025:3541
8. https://access.redhat.com/errata/RHSA-2025:3543
9. https://access.redhat.com/security/cve/CVE-2025-2240
10. https://github.com/advisories/GHSA-gfh6-3pqw-x2j4
11. https://nvd.nist.gov/vuln/detail/CVE-2025-2240
12. https://cwe.mitre.org/data/definitions/1325.html