Undertow CVE 7.5: Affected, Will not fix, Fix deferred i Not affected — jedno CVE może wymagać czterech różnych decyzji remediation

CVE-2026-81624 dotyczy WebSocketów w Undertow. Domyślne limity buforów i timeoutów mogą pozostawać nieograniczone, a problematyczny boot path nie pozwala właściwie ustawić potrzebnych ograniczeń. Zdalny, nieuwierzytelniony attacker może wyczerpać pamięć lub inne zasoby i spowodować DoS. Red Hat ocenia problem na 7.5 i nie wskazuje łatwego mitigation. Najważniejszy dla VE nie jest jednak sam score, lecz product state.

Affected: podatność potwierdzona, ale fix może jeszcze nie istnieć — finding żyje bez prostego rozwiązania (ocena ekspozycji WebSocket, monitoring, plan aktualizacji).

Will not fix: podatność nie znika — zmienia się rodzaj remediation (upgrade / remove exposure / mitigation / formal risk acceptance). Często finding lifecycle/EOL.

Fix deferred: decyzja engineeringowa vendora, nie akceptacja ryzyka przez klienta — organizacja robi własny risk assessment, controls, ownera i termin re-review.

Not affected: pamiętaj o backportach — starszy numer pakietu może zawierać fix; scanner patrzący na upstream version może dać false positive.

Rozdziel affectedness od remediation availability

To dwa różne wymiary. affectedness: affected / remediation: will_not_fix to zupełnie inny stan niż affectedness: not_affected. Praktyczny workflow: dla każdego produktu z Undertow ustal vendor product, package state i lifecycle; potwierdź użycie WebSocketów i ekspozycję; dla Fix deferred utrzymuj kontrolę tymczasową i datę re-review; dla Will not fix uruchom upgrade/EOL/risk acceptance; dla Not affected zachowaj vendor evidence do suppression false positive.

Wniosek

To samo CVE może oznaczać patch, upgrade platformy, wyjątek, mitigation albo poprawne odrzucenie false positive. Pytanie brzmi nie tylko „czy jesteśmy affected?”, lecz: jaki jest product state i jaka jest w ogóle możliwość usunięcia tej podatności?

Powiązane na blogu

EOL upstreamu ≠ EOL pakietu — lifecycle jako oś decyzji
ABRT: usuń zamiast łatać — gdy remediation to nie patch

Źródła

Red Hat — CVE-2026-81624 — access.redhat.com
CVE.org — CVE-2026-81624 — cve.org

Nota redakcyjna: stan informacji 1 września 2026. CVE-2026-81624 (Undertow WebSockets DoS, Red Hat 7.5): kluczowy jest product state (Affected / Will not fix / Fix deferred / Not affected). Artykuł koncentruje się na rozdzieleniu affectedness od remediation availability.