Quarkus 管理介面路徑組合錯誤可繞過授權檢查

情報摘要

Red Hat 公開 CVE-2026-107912：Quarkus 的 quarkus-vertx-http 元件在組合管理介面根路徑與特定權限規則時出錯，可能把安全政策套用到錯誤路徑，令攻擊者繞過預期授權檢查並存取敏感管理端點。官方 CVSS 攻擊向量為本機（AV:L），不能把它改寫成已確認可從互聯網直接利用；修補版本尚未能從所核對 CNA 記錄確認。

Red Hat CNA 把問題分類為 CWE-862（缺少授權）。其描述確認管理介面路徑組合錯誤及未授權存取風險；CVSS 評估機密性及完整性影響為高，可用性影響為無。

CNA 受影響清單包括 Red Hat build of Quarkus、Build of Keycloak、build of Apache Camel 4 for Quarkus 3、build of Apicurio Registry 3、build of Debezium 3，以及 Exploit Intelligence、OpenShift Serverless、OpenShift AI 和 OpenShift Dev Spaces 的指定套件。這是套件層面的清單，不能推定每個產品所有版本或所有部署均受影響。Red Hat Fuse 7 的 quarkus-vertx-http 狀態為 unknown，不能列作已確認受影響。

CNA 時間線列明 2026 年 10 月 9 日向 Red Hat 通報，於 11 月 5 日 12:34:20 UTC 公開；CVE 記錄在同日 13:27:11 UTC 發布。兩個公開時間均為香港日期 11 月 5 日，不是已確認入侵時間。

受影響產品

Quarkus 的 quarkus-vertx-http 管理介面；CNA 列出多項 Red Hat 產品的特定套件受影響，但沒有完整版本範圍或固定版本。Red Hat Fuse 7 對應套件狀態為 unknown。

適用讀者

管理 Quarkus、Red Hat 中介軟件及相關 OpenShift 元件，尤其有啟用管理介面及自訂權限規則的平台團隊。

建議行動

核對部署是否包含所列套件，以及管理介面根路徑和權限規則的配置，並向供應商確認版本狀態及正式更新。一般防護建議是按最小權限原則限制管理介面的可達範圍，及檢視管理端點存取紀錄；這些是編輯防護建議，不是經 Red Hat 驗證的漏洞緩解方案，也不能保證阻止此漏洞。

風險評級依據

Red Hat CNA 評為 CVSS 3.1 7.7（High），向量為 CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N；AV:L 代表本機攻擊向量。Red Hat 產品影響標籤另為 Important。

解讀限制

所核對 CNA 記錄沒有固定版本、RHSA 編號或正式緩解措施；不能把一般存取限制建議稱為官方修補。

管理端點的實際可達性及預設暴露狀態未能核實；官方 AV:L 評分應保留，不能僅因涉及 HTTP 就改稱遠端網絡漏洞。

所核對來源未確認野外利用，也未確認香港機構、部署數量或使用者受影響。

本文主要依據 Red Hat 提交的 CNA 原始 CVE 記錄；本次直接讀取 Red Hat 安全資料 API 未能取得有效公告內容。

資料來源

• Red Hat CNA：CVE-2026-107912 原始 CVE 記錄 ↗來源刊登：2026-11-05