CVE-2026-89295 Denegación de servicio por agotamiento de memoria en Eclipse Mnestix AAS Generator
Eclipse Mnestix AAS Generator, desde la versión 0.1.0 hasta antes de la 1.5.0, no impone un límite práctico al parámetro count enviado por el cliente en los endpoints GET /api/v1/IdGenerator/submodelIds/{count} y GET /api/v2/IdGenerator/submodelIds/{count}. El servicio genera y retiene identificadores en memoria antes de responder, por lo que un atacante remoto no autenticado puede enviar un count grande y provocar consumo excesivo de memoria, con posible denegación de servicio. Corrige la versión 1.5.0.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 37
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Eclipse Foundation Eclipse Mnestix
desde 0.1.0 hasta antes de 1.5.0
Qué hacer
- Verificá si usás Eclipse Mnestix y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.5 ALTA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadNinguna
- DisponibilidadAlta
Descripción original
In Eclipse Mnestix AAS Generator versions 0.1.0 up until but excluding 1.5.0, a practical upper bound on the client-supplied count parameter of the GET /api/v1/IdGenerator/submodelIds/{count} and GET /api/v2/IdGenerator/submodelIds/{count} endpoints is not enforced. The service generates and retains identifiers in memory before returning a response. A remote unauthenticated attacker can submit a large count to cause excessive memory consumption, potentially resulting in denial of service. Exploitation requires network access to the endpoint and successful retrieval of the ID-generation configuration from the configured backend repository.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.