文章总结： Java应用组件UndertowHTTP服务器内核存在严重漏洞CVE-2025-12543，CVSS评分9.6。该漏洞因未正确验证HTTPHost标头，可致会话劫持、缓存投毒及内网扫描。RedHat已发布补丁，建议立即应用2026年1月8日的更新以修复风险。 综合评分： 88 文章分类： 漏洞预警,WEB安全,漏洞分析

Java Apps 严重漏洞可用于劫持会话

Ddos

代码卫士

2026年1月12日 18:20 北京

  聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

Java应用程序如 WildFly 和 JBoss EAP 等中广为使用的组件 Undertow HTTP 服务器内核中存在一个严重漏洞CVE-2025-12543（CVSS评分9.6），可导致攻击者劫持用户会话并攻陷内部系统。

该漏洞存在于 Undertow 在进站请求中处理 HTTP Host 标头的方式中。该库未能正确验证这些标头，可导致恶意 Host 标头顺利通过。该弱点可带来多个攻击向量，如缓存投毒、内部网络扫描和会话劫持等。

Red Hat 将该漏洞评级为“重要”级别，因为它可导致攻击者无需身份验证就远程利用，不过利用该漏洞仍然需要有限的用户交互。成功利用该漏洞可导致攻击者窃取用户凭据、劫持更多账户或者获得对内部系统的越权访问权限。

该漏洞严重影响受影响系统的机密性和完整性，如Red Hat Jboss 企业应用平台8.1版本和多个程序包相关组件包括 eap8-undertow、eap8-wildfly和其它相关库等。Red Hat 已发布补丁修复该漏洞。组织机构应当立即应用2026年1月8日发布的更新，相关安全公告为 RHSA-2026:0386和RHSA-2026:0383。目前尚不存在满足 Red Hat 关于易用性和稳定性安全标准的缓解措施，因此用户应立即应用所推荐的补丁。

开源卫士试用地址：https://oss.qianxin.com/#/login

代码卫士试用地址：https://sast.qianxin.com/#/login

推荐阅读

热门JavaScript 加密库 Forge 修复签名验证绕过漏洞

JavaScript 热门库 expr-eval 易受 RCE 攻击

Apache Parquet Java 中存在CVSS满分漏洞

Apache Avro SDK 中存在严重漏洞，可导致在 Java 应用中实现RCE

原文链接

The 9.6 Crack in Java’s Foundation: Critical Undertow Flaw CVE-2025-12543

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 “赞” 吧~

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：代码卫士 Ddos《Java Apps 严重漏洞可用于劫持会话》