CVE-2026-107726, CVE-2026-107725

Data: 2026-10-08

Severity: Critical

CVSS Score:

  • CVE-2026-107726: 9.3 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)

  • CVE-2026-107725: 8.7 (CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)

Nota

La severity e i CVSS Score si riferiscono alle vulnerabilità della libreria. Come descritto nella sezione GovWay, le vulnerabilità sono sfruttabili solamente da chi è in grado di raggiungere le porte del cluster Hazelcast avviato dai nodi GovWay, e solamente nelle installazioni che utilizzano policy di rate limiting con sincronizzazione distribuita tramite Hazelcast.

Riferimenti:

Libreria: com.hazelcast:hazelcast

  • GovWay 3.3.x: <= 5.3.8

  • GovWay 3.4.x: <= 5.3.8

Descrizione

  1. [CVE-2026-107726] CWE-20: Improper Input Validation

Hazelcast allows arbitrary member memory access by low-privileged client.

A flaw has been found in Hazelcast Enterprise Edition and Community Edition, which would allow a low-privileged malicious client to read arbitrary data in memory from any cluster member (including Java heap memory, off-heap data, and JVM process address space). Additionally, such a client may be able to cause one or more cluster members to crash, or in some Enterprise Edition configurations also corrupt memory contents, potentially leading to remote code execution. Both slim and full distributions are affected.

Enterprise customers should upgrade to a fixed version of Hazelcast Enterprise Edition: 5.7.0, 5.6.1, 5.5.10, 5.4.5. Community Edition users should upgrade to version 5.7.0.

Workarounds: if you cannot update to a fixed version immediately, restrict cluster access to trusted clients only and ensure clients are hardened against compromise.

  1. [CVE-2026-107725] CWE-862: Missing Authorization

Hazelcast has an authorization bypass in IMap Predicates API.

Missing authorization checks in the Predicates API may allow a malicious client to execute arbitrary code on a Hazelcast member.

Enterprise customers should upgrade to a fixed version of Hazelcast Enterprise Edition: 5.7.0, 5.6.1, 5.5.10, 5.4.5. Community Edition users should upgrade to version 5.7.0.

Workarounds: none - customers are advised to upgrade to a fixed version as soon as possible.

GovWay

GovWay utilizza Hazelcast (Community Edition) per la sincronizzazione distribuita dei contatori del rate limiting: per ogni modalità di conteggio utilizzata (es. “atomic-long-counters”, “pn-counters”, “near-cache”) ciascun nodo avvia al proprio interno un member Hazelcast, in ascolto su una porta dedicata (per default nell’intervallo 5701-5709), che forma un cluster con i member degli altri nodi.

I member vengono avviati solamente per le modalità di conteggio utilizzate da almeno una policy di rate limiting configurata con sincronizzazione “Distribuita” tramite Hazelcast. Le installazioni che non utilizzano tale sincronizzazione (per default il conteggio è gestito localmente in ogni nodo) non avviano alcun member e non sono interessate dalle vulnerabilità.

Nella Community Edition di Hazelcast non sono previste l’autenticazione dei member e dei client né la cifratura delle comunicazioni: un soggetto in grado di raggiungere le porte del cluster può collegarsi come client e sfruttare le vulnerabilità. Le vulnerabilità non sono invece sfruttabili tramite le interfacce esposte dal gateway (erogazioni, fruizioni, console e API di configurazione e monitoraggio).

Nella versione 3.4.4 la libreria viene aggiornata alla versione 5.7.0. Poiché a partire dalla versione 5.5 il CP Subsystem di Hazelcast è disponibile solamente nella Enterprise Edition, i contatori delle modalità “atomic-long-counters” sono stati reimplementati su una mappa distribuita, con le stesse garanzie di conteggio delle versioni precedenti; la configurazione delle policy non subisce modifiche.

Nella versione 3.3.x l’aggiornamento non è possibile, poiché le versioni di Hazelcast contenenti il fix richiedono Java 17. In attesa dell’aggiornamento, e nelle installazioni 3.3.x, si raccomanda di applicare le seguenti mitigazioni:

  • consentire l’accesso alle porte del cluster Hazelcast esclusivamente ai nodi GovWay che ne fanno parte (es. tramite regole firewall o security group);

  • nel file “govway_local.hazelcast.yaml” disabilitare i meccanismi di discovery “multicast” e “auto-detection”, configurando il join “tcp-ip” con l’elenco esplicito dei nodi del cluster;

  • limitare tramite l’elemento “interfaces” le interfacce di rete su cui i member sono in ascolto alla sola rete del cluster.

Versione affette:

  • 3.3.x: <= 3.3.20

  • 3.4.x: <= 3.4.3

Risoluzione:

  • 3.3.x: -

  • 3.4.x: 3.4.4