CVE-2026-76166

Nome do Software Vulnerável e Versões Afetadas mod cluster (versões afetadas não especificadas)

Descrição Uma falha existe no AdvertiseListenerImpl do módulo core org.jboss.modcluster. Um invasor não autenticado pode causar a negação de serviço enviando um único datagrama multicast UDP manipulado. O datagrama deve conter uma linha de status HTTP válida e um cabeçalho Server:, mas omitir os cabeçalhos Date:, Digest: e Sequence:. Isso dispara uma NullPointerException na função verifyDigest() que não é capturada pelo manipulador de exceções da thread de trabalho, levando ao encerramento permanente da thread do advertise listener. A falha é silenciosa, pois isListening() continua a retornar true, e o serviço permanece indisponível até que o nó seja reiniciado. Este problema afeta implantações independentemente de haver uma AdvertiseSecurityKey configurada, pois a falha ocorre antes da comparação da chave de segurança.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.