CVE-2026-73100: Credenziali nei log Apache Juneau

Juneau registra credenziali nei log senza filtri. Esposizione Authorization, Cookie, X-API-Key. Aggiornare a 9.2.1.

CVE-2026-73100 è una vulnerabilità in Apache Juneau: il logger di default registra i header HTTP in errori server (5xx) senza redazionarli. Authorization, Cookie, Proxy-Authorization e X-API-Key vengono scritti in chiaro nei log, visibili a chiunque acceda ai file (amministratori, backup, monitoraggio).

Il CVSS è 10,0 (massimo), gravità critical. Apache ha già rilasciato la correzione in versione 9.2.1, pubblicata il 5 novembre 2026 su NVD. I segnali social mostrano attenzione moderata (3 post in 24 ore con 4 interazioni) senza viralità. Non sono stati segnalati exploit pubblici e non esiste evidenza di sfruttamento attivo in natura.

Per i difensori: 1) Inventariare sistemi Juneau e verificare versioni in esercizio. 2) Aggiornare a 9.2.1 come massima priorità. 3) Revisionare log ultimi 30-90 giorni per Authorization, Cookie, X-API-Key in chiaro. 4) Ruotare credenziali esposte. 5) Restringere accesso log via RBAC e encryption at rest. 6) Implementare filtri di redazione per header sensibili.

In sintesi

Cosa: CVE-2026-73100: il server REST di Apache Juneau registra i header delle richieste HTTP nei log di errore (5xx) senza redazionarli, esponendo credenziali come Authorization, Cookie, Proxy-Authorization e X-API-Key in chiaro a chiunque legga i file di log.
Gravità: CVSS 10,0 - Critical. Qualsiasi client che provoca un errore server registra credenziali nei log leggibili da amministratori, processi di monitoraggio, backup e altri sistemi con accesso al filesystem.
Versioni interessate: Apache Juneau fino alla versione 9.2.0 inclusa.
Correzione: Aggiornare a Apache Juneau 9.2.1 o successivo. La correzione è già disponibile dal vendor.
Stato: Pubblicato su NVD il 5 novembre 2026. Correzione disponibile. Nessun exploit pubblico segnalato su repository note. Nessuna evidenza di sfruttamento attivo in natura. Segnali social: 3 post in 24 ore, 4 interazioni totali.
Azione: 1) Inventariare sistemi Juneau e verificare versioni. 2) Pianificare aggiornamento a 9.2.1 come massima priorità. 3) Revisionare log storici (ultimi 30-90 giorni) per Authorization, Cookie, X-API-Key in chiaro. 4) Ruotare credenziali se trovate esposte. 5) Restringere accesso ai log via RBAC e encryption at rest. 6) Attivare filtri di redazione per header sensibili.

Fonti: NVD, CVE-2026-73100

← Tutti gli articoli