7.4 Élevée

CVE-2024-12397 Io.quarkus.http/quarkus-http-core: quarkus http cookie smuggling

Description

A flaw was found in Quarkus-HTTP, which incorrectly parses cookies with certain value-delimiting characters in incoming requests. This issue could allow an attacker to construct a cookie value to exfiltrate HttpOnly cookie values or spoof arbitrary additional cookie values, leading to unauthorized data access or modification. The main threat from this flaw impacts data confidentiality and integrity.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Élevée
Privilèges requis: Aucun
Interaction: Aucune
Portée: Inchangée
Confidentialité: Élevé
Intégrité: Élevé
Disponibilité: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Cryostat 4 on RHEL 9 4.0	premières → < 4.0.0-7	4.0.0-7
HawtIO HawtIO 4.2.0	Versions non publiées
Red Hat build of Quarkus 3.15.3	Versions non publiées
Cryostat 3	Versions non publiées
Red Hat build of Apache Camel 4 for Quarkus 3	Versions non publiées
Red Hat build of Apicurio Registry 2	Versions non publiées
Red Hat Build of Keycloak	Versions non publiées
Red Hat build of OptaPlanner 8	Versions non publiées
Red Hat Fuse 7	Versions non publiées

Afficher les 6 autres branches

Produit	Versions touchées	Corrigé en
Red Hat Integration Camel K 1	Versions non publiées
Red Hat JBoss Enterprise Application Platform 8	Versions non publiées
Red Hat JBoss Enterprise Application Platform Expansion Pack	Versions non publiées
Red Hat Process Automation 7	Versions non publiées
streams for Apache Kafka	Versions non publiées
Red Hat build of Keycloak 26.2 26.2	premières → < 26.2-3	26.2-3

Références

RHBA-2025:7525 access.redhat.com
RHBA-2025:7639 access.redhat.com
RHSA-2025:0900 access.redhat.com
RHSA-2025:3018 access.redhat.com
RHSA-2025:8761 access.redhat.com
access.redhat.com access.redhat.com
RHBZ#2331298 bugzilla.redhat.com

Chronologie

Publiée 12 décembre 2024
Dernière modification 5 novembre 2026

Les 54 CVE de Cryostat 4 on RHEL 9 →

CVE-2026-54513 jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data Processor 8.1 Élevée CVE-2026-50559 Quarkus is a Java framework for building cloud-native applications 7.5 Élevée CVE-2026-9697 Impact: undici's ProxyAgent silently drops the requestTls option when configured with a SOCKS5 proxy URI (socks5:// or… 7.4 Élevée CVE-2026-6734 Impact: When using Socks5ProxyAgent, undici reuses a single connection pool across different origins without verifying… 7.5 Élevée

Suivre cette CVE