CVE-2026-81515— Steeltoe 服务发现 Eureka 拒绝服务漏洞
一分钟漏洞结论
影响对象
SteeltoeOSS security-advisories
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Steeltoe 是一个开源项目，提供了一系列用于构建云原生应用程序的库。从版本 4.0.0 到 4.3.0， 将注册表响应作为单个单元进行反序列化。如果响应中包含无法识别的 或 、非布尔型的 ，或非数字型的 ，都可能导致整个响应被中止处理。 能够注册或更新实例的用户（principal）可以导致所有已连接的 Steeltoe 客户端接收到空实例列表或过时的实例列表，直到该格式错误的注册信息被移除为止。 受影响的解析路径包括 、 和 。此问题与此前发现的 解析漏洞不同。该问题已在版本 4.3.0 中修复。
可能的 ATT&CK 技术 1 AI
T1190 · Exploit Public-Facing Application
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-81515 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Steeltoe.Discovery.Eureka: malformed enum/bool/timestamp field aborts entire registry fetch (DoS)
来源: CVE Program / CVE List V5
Vulnerability Description
Steeltoe is an open source project that provides a collection of libraries that helps users build cloud-native applications. From 4.0.0 until 4.3.0, EurekaDiscoveryClient deserializes the registry response as one unit, and an unrecognized actionType or status, a non-Boolean isCoordinatingDiscoveryServer, or a nonnumeric timestamp can abort the entire response. A principal that can register or update an instance can cause all connected Steeltoe clients to receive an empty or stale instance list until the malformed registration is removed. The JsonInstanceInfoConverter, BoolStringJsonConverter, and LongStringJsonConverter parsing paths are affected. This issue is distinct from the earlier DataCenterInfo.name parsing vulnerability. This issue is fixed in version 4.3.0.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
对异常条件的处理不恰当
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| SteeltoeOSS | security-advisories | >= 4.0.0, < 4.3.0 | - |
|
二、漏洞 CVE-2026-81515 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-81515 的情报信息
请登录查看更多情报信息。
CVE-2026-81515 补丁与修复 (1)
CVE-2026-81515 厂商安全公告 (1)
CVE-2026-81515 厂商页面 (1)
同批安全公告 · SteeltoeOSS · 2026-09-17 · 共 4 条
| CVE-2026-81516 | 7.5 HIGH | Steeltoe Consul发现服务DoS漏洞 |
| CVE-2026-81868 | 6.5 MEDIUM | Steeltoe 客户端证书缺少私钥持有证明 |
| CVE-2026-75523 | 5.9 MEDIUM | Steeltoe.Management.Endpoint 敏感信息泄露 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-81515
暂无评论