Apache HTTP Server / ASF-Projekte Seite 5

In Apache Solr (Versionen 9.4.0 bis 9.10.1 sowie 10.0.0) enthält das Basic-Authentication-Setup-Tool hardcodierte Anmeldedaten, die einem entfernten Angreifer vollen administrativen Zugriff ermöglichen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Im Apache MINA SSHD Bundle sshd-git ermöglicht eine fehlende Pfadvalidierung in git-upload-pack, git-receive-pack und anderen Git-Operationen SSH-authentifizierten Nutzern den Zugriff auf Dateien ausserhalb des erlaubten Verzeichnisses (Path Traversal). CVSS-Basiswert: 7.1 (Hoch).

FFmpeg in den Versionen 0.6.3 bis 8.1.2 enthält im RTP/ASF-Demuxer in libavformat/rtpdec_asf.c eine Endlosschleife. Entfernte Angreifer können dadurch einen Denial of Service auslösen, indem sie präparierte Daten senden. CVSS-Basiswert: 7.5 (Hoch).

In Apache ActiveMQ kann ein authentifizierter Web-Console-Benutzer mit geringen Rechten standardmäßig auf die /admin/*-Pfade der Web-Console zugreifen. Ursache sind fehlerhafte Standard-Jetty-Einstellungen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Der JsonKafkaHeaderMapper sowie der veraltete DefaultKafkaHeaderMapper glichen Typ-Header über eine reine Präfix-Prüfung gegen die Liste vertrauenswürdiger Pakete ab. Dadurch wurden mit einem als vertrauenswürdig eingestuften Paket implizit auch alle dessen Unterpakete als vertrauenswürdig behandelt. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Auf die vom Hersteller bereitgestellte, korrigierte Version aktualisieren.

Eine Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten betrifft Apache Camel bzw. die Apache Camel JMS-Komponente. Laut Quelle deserialisiert JmsBinding.extractBodyFromJms() in camel-jms – und das entsprechende JmsBinding in camel-sjms – Daten unsicher. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

Bei Verwendung eines OCSP-Responders führten Apache Tomcat Native sowie der FFM-Port des Tomcat-Native-Codes die Zertifikatsverifizierung nicht vollständig durch. Dies betrifft Apache Tomcat Native und Apache Tomcat auf allen Plattformen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Ein Fehler im Apache Airflow KubernetesExecutor führt dazu, dass JWT-Token, die Worker-Pods zur Authentifizierung gegen die Execution API verwenden, als Kommandozeilenargumente an den Worker-Container übergeben werden und so in Prozesslisten sichtbar sind. CVSS-Basiswert: 8.8 (Hoch).

In Apache Spark wurden in Versionen vor 3.5.7 und 4.0.1 Sicherheitsprobleme gemeldet. Empfohlene Massnahme: Upgrade auf Version 3.5.7 oder 4.0.1 bzw. neuer. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Die camel-pqc-Komponente von Apache Camel weist eine Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten auf. Die Komponente persistiert Metadaten von Post-Quantum-Schlüsseln (KeyMetadata) über pluggable KeyLifecycleManager-Implementierungen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version von Apache Camel aktualisieren.

Eine Use-after-free-Schwachstelle im Apache-HTTP-Server-Modul mod_http2 tritt auf, wenn die Datei-Handles bereits erschöpft sind. Betroffen ist Apache HTTP Server von 2.4.55 bis 2.4.67. Die Kennung ist zusätzlich beim Axis-Communications-Advisory-Tracking sowie im Ubuntu-Sicherheitshinweis USN-8571-1 gelistet. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine korrigierte Apache-HTTP-Server-Version aktualisieren.

Beim Deserialisieren einer Nachricht durch Apache CXF gibt es keine Begrenzung der Anzahl der Attachment-Header, die eine Nachricht enthalten darf. Dies kann zu unkontrolliertem Ressourcenverbrauch und damit zu einem Denial of Service führen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

War in Apache Tomcat der JNDIRealm so konfiguriert, dass Bind-Vorgänge über GSSAPI authentifiziert werden, konnten Angreifer sich anmelden, ohne die korrekten Zugangsdaten anzugeben (fehlender kritischer Authentifizierungsschritt). Als betroffen ausgewiesen sind Apache HTTP Server / ASF-Projekte und Apache Tomcat. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Updates einspielen.

Der Git-Provider von Apache Airflow führt seine Git-über-SSH-Operationen standardmässig mit StrictHostKeyChecking=no aus und deaktiviert damit die Prüfung des SSH-Hostschlüssels. Ein Angreifer, der den Netzwerkpfad abfangen kann, ist dadurch in der Lage, sich in die Verbindung einzuklinken (Man-in-the-Middle). CVSS-Basiswert: 8.1 (Hoch).

Ein Fehler in der Bulk-Task-Instances-API von Apache Airflow (PATCH/DELETE /api/v2/dags/{dag_id}/dagRuns/{dag_run_id}/taskInstances) führte dazu, dass die Autorisierung anhand der dag_id aus dem URL-Pfad geprüft wurde, anstatt anhand der tatsächlich betroffenen Ressource. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In Apache Answer besteht eine Schwachstelle durch unzureichende Einschränkung der Sicherheits-Token-Zuweisung. Zuvor ausgestellte administrative Tokens wurden laut Quelle nicht invalidiert. Betroffen ist Apache Answer bis Version 2.0.0. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine vom Hersteller korrigierte Version aktualisieren.

Apache Traffic Server ermöglicht Request Smuggling, wenn Chunked-Nachrichten fehlerhaft sind. Betroffen sind die Versionen 9.0.0 bis 9.2.12 sowie 10.0.0 bis 10.1.1. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Apache ActiveMQ (vor 5.19.7 sowie von 6.0.0 bis vor 6.2.6) gewähren die Standard-Jolokia-Autorisierungseinstellungen Nicht-Administratoren zu weitreichende Rechte. Dies kann zur unbefugten Ausführung von Verwaltungsoperationen führen. CVSS-Basiswert: 8.8 (Hoch).

Die Komponente camel-nats von Apache Camel überträgt eingehende NATS-Nachrichten-Header in den Camel-Exchange, wobei die headerFilterStrategy standardmässig unzureichend gesetzt ist (Improper Input Validation). Als betroffen ausgewiesen sind Apache HTTP Server / ASF-Projekte und Apache Tomcat. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Updates einspielen.

Eine Schwachstelle durch stets fehlerhafte Kontrollfluss-Umsetzung im Rewrite-Valve von Apache Tomcat führte dazu, dass bei einer erfüllten ersten Bedingung einer OR-Verkettung nachfolgende Nicht-OR-Bedingungen übersprungen wurden. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine korrigierte Apache-Tomcat-Version aktualisieren.

Eine Open-Redirect-Schwachstelle (URL-Umleitung auf eine nicht vertrauenswürdige Seite) betrifft Apache APISIX. Ein Angreifer könnte laut Quelle bestimmte Client-Header manipulieren, um eine offene Weiterleitung auszulösen und dadurch die Session potenziell offenzulegen. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

Eine Schwachstelle zur Rechteausweitung in Apache OFBiz erlaubt einem niedrig privilegierten, authentifizierten Nutzer, höhere Berechtigungen zu erlangen. Betroffen sind laut Quelldaten Versionen vor 24.09.07. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Apache OFBiz 24.09.07 oder neuer.

Eine Schwachstelle durch unzureichende Eingabevalidierung in Apache APISIX erlaubt es einem Angreifer, über bestimmte Konfigurationen des forward-auth-Plugins Identity-Header zu fälschen und so Identitäten vorzutäuschen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In der Lucene-Komponente von Apache Camel ermöglichen eine unzureichende Eingabevalidierung sowie eine Autorisierungsumgehung über einen benutzerkontrollierten Schlüssel den unbefugten Zugriff. Der camel-lucene-Producer liest die Suchphrase aus einem Exchange-Header. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine korrigierte Apache-Camel-Version aktualisieren.

Eine Schwachstelle durch unzureichende Eingabevalidierung betrifft Apache Camel. Betroffen sind laut Quelle Apache Camel bis 4.14.7, von 4.15.0 bis 4.18.2 sowie von 4.19.0 bis 4.20.0. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

In Apache Camel besteht eine Schwachstelle durch unzureichende Eingabevalidierung. Betroffen sind laut Quelle die Versionen bis 4.14.7, von 4.15.0 bis 4.18.2 sowie von 4.19.0 bis 4.20.0. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine vom Hersteller empfohlene korrigierte Version aktualisieren.

Eine Schwachstelle durch unzureichende Eingabevalidierung in Apache Camel betrifft die Versionen 4.8.0 bis 4.18.2 sowie 4.19.0 bis 4.20.0. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf die vom Hersteller empfohlenen Versionen (u. a. 4.18.3) aktualisieren.

Eine Schwachstelle durch unzureichende Eingabevalidierung in der CXF-SOAP-Komponente (camel-cxf) von Apache Camel erlaubt es einem Angreifer, die aufgerufene SOAP-Operation zu beeinflussen (Unintended Proxy / 'Confused Deputy'). CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine vom Hersteller bereitgestellte, korrigierte Version aktualisieren.

In der Iggy-Komponente von Apache Camel ermöglichen fehlerhafte Eingabevalidierung sowie die Offenlegung sensibler Informationen gegenüber Unbefugten eine Server-Side Request Forgery (SSRF). CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Eine Buffer-Over-read-Schwachstelle betrifft Apache HTTP Server bis einschliesslich Version 2.4.66. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Upgrade auf Version 2.4.67, welche das Problem behebt.

In Apache NiFi 1.12.0 bis 2.9.0 fehlt eine Autorisierungsprüfung beim Ersetzen von Process Groups, die Erweiterungskomponenten mit bestimmten über die Restricted-Annotation geforderten Berechtigungen enthalten. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version gemäss Apache-Advisory aktualisieren.

Fehlerhaftes Escaping von Datenbank-Tabellennamen im CaptureChangeMySQL-Processor von Apache NiFi 1.2.0 bis 2.9.0 ermöglicht das Einschleusen von SQL-Befehlen über gezielt gestaltete Namen. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Der Apache Doris MCP Server enthält eine SQL-Injection-Schwachstelle in einem Metadaten-Abfragepfad. Ein durch den Benutzer kontrollierter Datenbankname wird direkt in eine SQL-Abfrage eingefügt und ohne Parametrisierung ausgeführt. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Im FAB-Auth-Manager von Apache Airflow kollidiert eine DAG mit der dag_id DAGs mit dem globalen Ressourcennamen für die Alle-DAGs-Berechtigung, den resource_name() erzeugt. Dadurch kann eine einem Nutzer erteilte, auf eine einzelne DAG beschränkte Berechtigung mit der globalen Berechtigung für alle DAGs zusammenfallen. CVSS-Basiswert: 8.1 (Hoch).

Der JsonPulsarHeaderMapper prüfte Typ-Header gegen vertrauenswürdige Pakete über einen Präfix-Abgleich, wodurch das Vertrauen in ein Paket implizit auch alle seine Unterpakete einschloss. Zusätzlich wirkte sich eine leere Liste vertrauenswürdiger Pakete unsicher aus. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

Die Klasse FileBasedKeyLifecycleManager des Camel-PQC-Moduls deserialisiert Inhalte von Schlüsseldateien mittels java.io.ObjectInputStream ohne ObjectInputFilter anzuwenden. Dies ermöglicht potenziell unsichere Deserialisierung und Codeausführung. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der Neo4J-Komponente von Apache Camel werden Sonderzeichen in der Datenabfragelogik unzureichend neutralisiert. Der camel-neo4j-Producer erzeugt für seine Match-, Retrieve- und Delete-Operationen die Cypher-WHERE-Klausel, wodurch eine Injection möglich wird. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine bereinigte Version der camel-neo4j-Komponente aktualisieren.

In Apache APISIX besteht eine Schwachstelle bei der Authentifizierung: Wird das cas-auth-Plugin in einer Route verwendet, kann sich ein Angreifer möglicherweise mit Zugangsdaten aus einer anderen Quelle authentifizieren. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

Eine Race Condition in AbstractOAuthDataProvider erlaubt es, dass gleichzeitige Anfragen mit demselben Refresh Token die Einmalnutzungs-Semantik umgehen und mehrere gültige Access Tokens erzeugen, wenn 'recycleRefreshTokens' entsprechend konfiguriert ist. CVSS-Basiswert: 7.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version gemäss Apache-Advisory aktualisieren.

In Apache APISIX besteht eine Schwachstelle durch fehlerhafte Autorisierung. Unter der Standardkonfiguration des Plugins authz-casdoor kann ein Angreifer sich mit Zugangsdaten aus einer anderen Quelle authentifizieren. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der REST-API (helix-rest, CORSFilter) von Apache Helix bis Version 2.0.0 besteht ein zu freizügiges Cross-Origin Resource Sharing (CORS), das einem entfernten Angreifer den plattformübergreifenden Zugriff ermöglicht. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine vom Hersteller korrigierte Version aktualisieren.

In Apache Storm (Versionen vor 2.8.6) werden beim Verarbeiten von Topology-Credentials über die Nimbus Thrift API nicht vertrauenswürdige Daten deserialisiert. Dies kann zur Ausführung beliebigen Codes führen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Der FTP-Provider von Apache Airflow baute in FTPSHook.get_conn() eine ftplib.FTP_TLS-Verbindung auf, rief jedoch nie prot_p() auf; dadurch war zwar der Steuerkanal TLS-geschützt, der Datenkanal wurde aber unverschlüsselt übertragen. Als betroffen ausgewiesen sind Apache HTTP Server / ASF-Projekte, Apache Tomcat und Progress. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Updates einspielen.

In den GStreamer-Plugins gst-plugins-ugly wurden mehrere Integer-Overflow- und -Underflow-Schwachstellen im ASF-Demuxer (asfdemux) gefunden. Sie treten laut NVD beim Parsen von Header-Objekten aus präparierten ASF-, WMV- oder WMA-Dateien auf. CVSS-Basiswert: 7.1 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt. Ein EPSS-Wert liegt in den Quelldaten nicht vor.

In den Node.js-Bindings von Apache Thrift vor Version 0.23.0 besteht eine Schwachstelle durch unkontrollierte Rekursion, die zu einem Denial-of-Service führen kann. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Upgrade auf Apache Thrift 0.23.0.

In Apache Tomcat (ab 11.0.0-M1) führt eine inkonsistente Interpretation von HTTP-Anfragen über ungültige Chunk-Extensions zu einer HTTP-Request/Response-Smuggling-Schwachstelle. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

DAG-Autoren in Apache Airflow, die normalerweise keinen Code im Webserver-Kontext ausführen dürfen, konnten durch präparierte XCom-Payloads die Ausführung beliebigen Codes im Webserver veranlassen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Der LDAP-Client in Version 2.1.7 überprüft nicht, ob das Server-Zertifikat dem vorgesehenen LDAP-Hostnamen entspricht. Obwohl das Zertifikat selbst validiert wird, fehlt die Hostname-Prüfung, was Man-in-the-Middle-Angriffe ermöglicht. CVSS-Basiswert: 8.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Vor Apache Airflow 3.2.0 war nicht eindeutig dokumentiert, dass sichere Airflow-Deployments besondere Massnahmen durch den Deployment Manager erfordern. Dies konnte dazu führen, dass Sicherheitsdetails und das Sicherheitsmodell von Airflow nicht ausreichend berücksichtigt wurden. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In Apache OFBiz besteht eine SSRF-Schwachstelle über Operationen der Content-Komponente. Betroffen sind Versionen vor 24.09.06; ein Upgrade auf diese Version wird empfohlen. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Upgrade auf Apache OFBiz 24.09.06.