JVNDB-2026-002672

Quarkusにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

Quarkusはクラウドネイティブで(Linux)コンテナファーストのJavaアプリケーション開発フレームワークです。バージョン3.31.0、3.27.2、および3.20.5より前のバージョンには、Quarkus RESTのHTTPレイヤーにおいてレスポンス処理に関連する脆弱性が存在します。レスポンスが書き込まれている間、フレームワークは前に書き込まれたレスポンスチャンクが完全に送信されるのを待機します。この待機中にクライアント接続が切断されると、関連するワーカースレッドが解放されず永久にブロックされてしまいます。この状態が継続的または繰り返し発生すると、利用可能なワーカースレッドが枯渇し、パフォーマンスが低下しアプリケーションが完全に利用不能になる可能性があります。この問題はバージョン3.31.0、3.27.2、および3.20.5で修正されています。回避策として、ワーカースレッドプールの状態と飽和度を監視し、異常なスレッド保持を早期に検出するヘルスチェックを実装することを推奨します。

Quarkus

• Quarkus 3.20.5 未満
• Quarkus 3.21.0 以上 3.27.2 未満
• Quarkus 3.30.0 以上 3.31.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Potential worker thread starvation when HTTP connection is closed while waiting to write  Advisory  quarkusio/quarkus  GitHub

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2025-66560

1. National Vulnerability Database (NVD) : CVE-2025-66560

• [2026年02月05日]
    掲載