CVE-2026-54399, CVE-2026-54428

Data: 2026-07-07

Severity: High

CVSS Score:

  • CVE-2026-54399: 7.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)

  • CVE-2026-54428: 7.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)

Riferimenti:

Libreria: org.apache.httpcomponents.core5:httpcore5, org.apache.httpcomponents.core5:httpcore5-h2 (versioni affette: <= 5.4.2 e 5.5-alpha - 5.5-beta1)

Descrizione

  1. [CVE-2026-54399] CWE-400: Uncontrolled Resource Consumption

Uncontrolled Resource Consumption vulnerability in the HTTP/1.1 message parser in Apache HttpComponents Core (5.4.2 and earlier, 5.5-beta1 and earlier) allows an remote attacker to cause a denial of service through memory exhaustion by sending messages with excessive number of headers / excessive header length

  1. [CVE-2026-54428] CWE-770: Allocation of Resources Without Limits or Throttling

Allocation of resources without limits or throttling in the HTTP/2 HPACK decoder in Apache HttpComponents Core (5.4.2 and earlier, 5.5-beta1 and earlier) allows an remote attacker to cause a denial of service through memory exhaustion by sending oversized compressed header blocks before the HTTP/2 SETTINGS acknowledgement causes the configured header list size limit to be applied.

Falso Positivo per GovWay

Entrambe le vulnerabilità interessano esclusivamente la serie 5.x di Apache HttpComponents Core (httpcore5), circoscritta da Apache alle versioni dalla 5.0-alpha alla 5.4.2 e dalla 5.5-alpha alla 5.5-beta1.

La linea 3.3.x di GovWay distribuisce invece la libreria org.apache.httpcomponents:httpcore (linea 4.x, versione 4.4.15), un ramo di codice distinto e non incluso nell’intervallo di versioni affette:

  • CVE-2026-54428 riguarda il decoder HPACK HTTP/2, funzionalità non presente nella linea 4.x (disponibile unicamente nel modulo httpcore5-h2);

  • CVE-2026-54399 riguarda il parser HTTP/1.1 della serie 5.x, riscritto e diverso da quello della linea 4.x.

La segnalazione è generata dai tool di analisi delle dipendenze (es. OWASP dependency-check) perché l’NVD associa entrambe le vulnerabilità alla CPE di prodotto cpe:2.3:a:apache:httpcomponents_core con range <= 5.4.2, senza distinguere la major 4.x dalla 5.x (essendo 4.4.15 < 5.4.2 il confronto di versione scatta erroneamente). Il match riguarda tutti i moduli della linea 4.x (httpcore, httpcore-nio ed il modulo httpcore-ab di Apache Benchmark, quest’ultimo anche nella variante ripacchettizzata presente nel namespace org.gov4j.thirdparty).

Per questi motivi la segnalazione è considerabile un falso positivo per la linea 3.3.x.

Configuration File: false-positive.xml