Apache Tomcat Seite 2

Der Fix für CVE-2025-27636 in Apache Camel setzte setLowerCase(true) in HttpHeaderFilterStrategy, um Varianten von Header-Namen wie „CAmelExecCommandExecutable” herauszufiltern. Dieser Fix ist unvollständig und kann weiterhin für die Ausführung von Befehren über manipulierte Header ausgenutzt werden. CVSS-Basiswert: 9.9 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

Eine fehlerhafte Autorisierung im Apache Submarine Server Core erlaubt es Angreifern, die Authentifizierung zu umgehen. Betroffen ist Apache Submarine Server Core ab Version 0.8.0; die Komponente ist laut Quelle bei Zuweisung nicht mehr unterstützt (UNSUPPORTED WHEN ASSIGNED). CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Im XKMS-Server von Apache CXF besteht eine LDAP-Injection-Schwachstelle im LDAP-Zertifikatsrepository, die es einem Angreifer ermöglichen kann, beliebige Zertifikate aus dem Repository auszulesen. Ein Upgrade auf eine gepatchte Version wird empfohlen. CVSS-Basiswert: 9.8 (Kritisch).

Ein Logikfehler im OAuthRequestFilter verwirft legitime Anfragen von der gebundenen IP-Adresse, lässt Anfragen von allen anderen IP-Adressen dagegen ungeprüft zu. Die Aktivierung dieser Sicherheitsfunktion kehrt ihre Wirkung damit ins Gegenteil um. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Im Apache OpenNLP ExtensionLoader ermöglicht eine Schwachstelle die Instanziierung beliebiger Klassen über den Model Manifest, was zur Codeausführung missbraucht werden kann. Betroffen sind Versionen vor 2.5.9 und vor 3.0.0-M3. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Die Komponente camel-pqc von Apache Camel ist für die Deserialisierung nicht vertrauenswürdiger Daten anfällig. Sie speichert laut Quelle Metadaten von Post-Quantum-Schlüsseln (KeyMetadata) über austauschbare KeyLifecycleManager-Implementierungen persistent ab. CVSS-Basiswert: 9.8 (Kritisch). Laut CVSS-Vektor ist die Lücke über das Netz ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Der Apache HTTP Server enthält bei Verwendung von mod_ldap in einer Per-Directory-Konfiguration eine Use-after-free-Schwachstelle. Betroffen sind die Versionen 2.4.0 bis 2.4.67. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: Der Hersteller empfiehlt ein Upgrade auf eine nicht betroffene Version gemäss Advisory; Ubuntu stellt dazu den Sicherheitshinweis USN-8589-1 bereit.

Eine Path-Traversal-Schwachstelle im SFTP-Provider (`SFTPHook.retrieve_directory` bzw. `SFTPOperator(operation=get)`) erlaubt einem bösartigen oder kompromittierten entfernten SFTP-Server, Dateien ausserhalb des konfigurierten lokalen Zielverzeichnisses zu schreiben. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Die Apache Camel-Mail-Komponente ist anfällig für eine Camel-Message-Header-Injection. Die verwendete Header-Filterstrategie (MailHeaderFilterStrategy) filtert ausgehende Richtungen unzureichend, was die Manipulation von Mail-Headern ermöglicht. CVSS-Basiswert: 9.4 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Die Komponente Apache Camel Keycloak ist von fehlerhafter Authentifizierung betroffen: Die KeycloakSecurityPolicy von camel-keycloak schützt eine kritische Funktion nicht zuverlässig und versagt im Fehlerfall nicht sicher, sondern öffnet den Zugriff (Failing Open). Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N) beschreibt einen Angriff über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In Apache Kafka ist die Broker-Eigenschaft für die JWT-Validierung (sasl.oauthbearer.jwt.validator.class) standardmässig auf eine unsichere Klasse gesetzt, was eine potenzielle Sicherheitslücke darstellt. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In Apache Fury (PyFory) kann der ReduceSerializer die dokumentierten DeserializationPolicy-Validierungshooks während der Wiederherstellung des Reduce-Zustands und der globalen Namensauflösung umgehen. Dies ermöglicht die Deserialisierung nicht vertrauenswürdiger Daten mit potenziell schwerwiegenden Folgen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Ein Fehler in der Pfadverarbeitung von mod_dav_fs in Apache 2.4.67 und älter erlaubt es einem WebDAV-Content-Author, vertrauenswürdige DAV-Property-Datenbanken direkt zu manipulieren. Das kann laut Quelle zum Absturz von Kindprozessen führen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine Version neuer als Apache 2.4.67 aktualisieren.

Die Klassen EndpointReferenceUtils und W3CMultiSchemaFactory von Apache CXF erzeugen eine SAXParserFactory ohne die notwendigen JAXP-Härtungseinstellungen. Dadurch ist eine Auflösung externer Entitäten über Out-of-Band-Kanäle (XXE) möglich. CVSS-Basiswert: 9.8 (Kritisch). Laut CVSS-Vektor ist die Lücke über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Im Java-replace-resolve-Pfad des Apache Fory fory-core Java SDK vor Version 1.1.0 auf Java/JVM-Plattformen erlaubt eine Deserialisierung nicht vertrauenswürdiger Daten einem entfernten Angreifer, die Klassenregistrierung und Typprüfung zu umgehen. Über das Netzwerk lassen sich Vertraulichkeit und Integrität vollständig gefährden. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Aktualisierung auf Apache Fory 1.1.0 oder neuer.

Der DictionaryEntryPersistor in Apache OpenNLP verarbeitet XML ohne ausreichende Absicherung gegen externe Entitäten (XXE). Betroffen sind Versionen vor 2.5.9 und vor 3.0.0-M3. Ein Angreifer kann über manipulierte Dictionary-Dateien beliebige Dateien auslesen oder SSRF auslösen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Die interne RPC-Schnittstelle des Apache IoTDB DataNode baut beim Anlegen von Trigger-Instanzen einen Dateipfad aus dem Namen des hochgeladenen Trigger-JARs, ohne ihn ausreichend zu validieren. Kritisch wird das laut Quellbeschreibung, wenn der interne DataNode-RPC-Port erreichbar ist. Die Schwachstelle ist ohne Authentifizierung über das Netzwerk ausnutzbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Der Apache HTTP Server enthält eine Buffer-Underwrite-Schwachstelle, die über präparierte reguläre Ausdrücke in der Konfiguration ausgelöst wird. Betroffen sind die Versionen 2.4.0 bis 2.4.67. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Axis führt die Schwachstelle in seinen Sicherheitshinweisen; Ubuntu stellt über USN-8571-1 Sicherheitsaktualisierungen für Apache HTTP Server bereit. Empfohlene Massnahme: Der Hersteller empfiehlt ein Upgrade auf eine nicht betroffene Version gemäss Advisory.

mcp-pinot ist ein Python-basierter Model-Context-Protocol-Server (MCP) für den Zugriff auf Apache Pinot. In Version 3.0.1 und älter startet mcp-pinot standardmässig einen HTTP-MCP-Server, der an 0.0.0.0:8080 gebunden wird und damit auf allen Netzwerkschnittstellen erreichbar ist. CVSS-Basiswert: 10 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H – ohne Rechte oder Nutzerinteraktion ausnutzbar, mit Scope-Wechsel. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine Version neuer als 3.0.1 aktualisieren und den Dienst nur an localhost oder ein vertrauenswürdiges Interface binden.

Ein entfernter Angreifer kann LDAP-Sonderzeichen in die Konstruktion des Distinguished Name (DN) in der Klasse DefaultLdapRealm einschleusen. Vom Benutzer gelieferte Eingaben werden dabei direkt in die LDAP-DN-Vorlage verkettet (LDAP-Injection). CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Die Komponente camel-cometd von Apache Camel übernimmt eingehende Bayeux-(CometD-)Nachrichten-Header ohne Anwendung eines Header-Filters in den Camel Exchange. Dadurch besteht eine Schwachstelle durch unzureichende Eingabevalidierung. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: das Advisory des Apache-Projekts beachten und auf eine fehlerbereinigte Version aktualisieren.

Die Komponente camel-aws2-sqs von Apache Camel übernimmt eingehende Message-Attribute über eine komponentenspezifische HeaderFilterStrategy in den Camel Exchange. Die Eingabevalidierung ist dabei unzureichend. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In Apache IoTDB besteht eine Schwachstelle zur Authentifizierungsumgehung durch Spoofing. Bestimmte Thrift-RPC-Query-Handler prüfen den Parameter sessionId nicht streng genug, sodass ein Angreifer Anfragen mit einer gefälschten Session konstruieren kann. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Die Komponente Camel MongoDB GridFS von Apache Camel weist eine unzureichende Eingabevalidierung in Kombination mit einer fehlerhaften Zugriffskontrolle auf. Der camel-mongodb-gridfs-Producer wählt die auszuführende GridFS-Operation anhand von Eingabedaten aus, was von Angreifern missbraucht werden kann. CVSS-Basiswert: 9.8 (Kritisch). Die Schwachstelle ist laut CVSS-Vektor über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Die Klasse JwtAccessTokenValidator in Apache CXF validiert den 'aud'-Claim (Audience) eingehender JWT-Access-Tokens nicht. Dadurch kann ein für einen Resource Server ausgestelltes JWT erfolgreich gegen einen anderen Resource Server wiederverwendet werden. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Roxy-WI ist eine Weboberfläche zur Verwaltung von HAProxy-, Nginx-, Apache- und Keepalived-Servern. In Version 8.2.6.4 und älter sind die HAProxy-section-save-Endpunkte (POST /api/service/haproxy/<server_id>/section/) angreifbar; die Quellbeschreibung liegt nur gekürzt vor. CVSS-Basiswert: 9.9 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H – für die Ausnutzung über das Netz genügen niedrige Privilegien, der Scope wechselt. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Da Roxy-WI die Konfiguration der verwalteten Server schreibt, betrifft eine Kompromittierung die gesamte dahinterliegende Proxy-/Webserver-Landschaft.

Die AWS-SNS-Komponente von Apache Camel weist eine unzureichende Eingabevalidierung auf. Die Komponente camel-aws2-sns filtert Camel-Header über die komponentenspezifische Sns2HeaderFilterStrategy, die diese Filterung nicht vollständig durchsetzt. CVSS-Basiswert: 9.8 (Kritisch). Laut CVSS-Vektor ist die Lücke über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Die Apache-Camel-Keycloak-Komponente weist eine Schwachstelle durch unzureichenden Ablauf von Sitzungen (Insufficient Session Expiration) auf. Laut Quellbeschreibung baut der Security-Helper KeycloakSecurityHelper.parseAndVerifyAccessToken einen Keycloak-TokenVerifier fehlerhaft auf. Die Lücke ist ohne Authentifizierung über das Netzwerk ausnutzbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In der DataSource-API von Apache DolphinScheduler fehlt eine Autorisierungsprüfung, wodurch Metadaten beliebiger Datenquellen offengelegt werden können. Betroffen sind Versionen vor 3.4.2. CVSS-Basiswert: 9.8 (Kritisch). Laut CVSS-Vektor ist die Lücke über das Netz ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Apache DolphinScheduler 3.4.2 oder neuer gemäss Herstellerempfehlung.

In Apache APISIX besteht eine Schwachstelle zur Authentifizierungsumgehung durch Spoofing. Bei bestimmten Konfigurationen des jwt-auth-Plugins kann ein Angreifer die Authentifizierung vollständig umgehen. Der CVSS-Vektor weist die Lücke als über das Netz ohne Authentifizierung und ohne Nutzerinteraktion ausnutzbar aus. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: die Konfiguration des jwt-auth-Plugins prüfen und die vom Hersteller bereitgestellte Aktualisierung einspielen.

In Apache IoTDB besteht eine Path-Traversal-Schwachstelle (unzureichende Beschränkung eines Pfadnamens auf ein zulässiges Verzeichnis). Betroffen sind die Versionen ab 2.0.0 vor 2.0.6 sowie ab 1.0.0 vor 1.3.6. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Apache IoTDB 2.0.6 bzw. 1.3.6 oder neuer aktualisieren.

In Apache IoTDB besteht eine Path-Traversal-Schwachstelle (unzureichende Beschränkung eines Pfadnamens auf ein zulässiges Verzeichnis). Betroffen sind die Versionen ab 1.0.0 vor 1.3.6 sowie ab 2.0.0 vor 2.0.7. Der CVSS-Vektor weist die Lücke als über das Netz ohne Authentifizierung und ohne Nutzerinteraktion ausnutzbar aus. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Apache IoTDB 1.3.6 bzw. 2.0.7 oder neuer aktualisieren.

Roxy-WI ist eine Weboberfläche zur Verwaltung von HAProxy-, Nginx-, Apache- und Keepalived-Servern. In den Versionen bis einschliesslich 8.2.6.4 akzeptiert der Endpunkt POST /waf/<service>/<server_ip>/rule/<rule_id>/save einen frei wählbaren Konfigurationsdateinamen. CVSS-Basiswert: 9.9 (Kritisch) bei netzbasiertem Angriffsvektor mit nur geringen Rechten und ohne Nutzerinteraktion. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine Version neuer als 8.2.6.4 aktualisieren.

In der Apache-Camel-Solr-Komponente bestehen laut NVD mehrere Schwachstellen: unzureichende Neutralisierung von Sonderzeichen in der Ausgabe (Injection), mangelhafte Eingabevalidierung sowie Server-Side Request Forgery (SSRF). Der Angriff ist über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion möglich. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In der DNS-Komponente von Apache Camel ermöglichen unzureichende Eingabevalidierung und eine Server-Side Request Forgery (SSRF), dass die camel-dns-Producer DNS-Operationsparameter wie den abzufragenden Resolver oder Namen aus nicht vertrauenswürdiger Quelle verarbeiten. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Apache Airflow enthielt die offizielle Dokumentation ein unsicheres BashOperator-Beispiel, das Template-Injection über DAG-Run-Konfigurationsparameter ermöglicht. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Apache Tomcat besteht laut NVD eine Schwachstelle der Klasse „Detection of Error Condition Without Action“ bei der Konfiguration von CRLs für einen FFM-basierten Connector. Betroffen sind unter anderem Apache Tomcat 11.0.0-M1 bis 11.0.22 sowie ab 10.1.x. Der Angriff ist netzwerkbasiert ohne Authentifizierung möglich. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine bereinigte Apache-Tomcat-Version aktualisieren.

Eine Schwachstelle durch eine grundsätzlich fehlerhafte Kontrollfluss-Implementierung (Always-Incorrect Control Flow) in Apache Tomcat führte dazu, dass spezielle Rollen und leere Autorisierungs-Constraints nicht berücksichtigt wurden, wenn die effektive web.xml protokolliert wurde. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Ubuntu stellt über USN-8551-1 Sicherheitsaktualisierungen für Tomcat bereit. Empfohlene Massnahme: betroffene Tomcat-Version gemäss Apache-Advisory aktualisieren.

Apache IoTDB beendet Sitzungen nicht ausreichend und ist für eine Authentifizierungsumgehung per Capture-Replay anfällig: Die REST-Basic-Authentifizierung akzeptiert veraltete, zwischengespeicherte Zugangsdaten. Angreifer können abgefangene Anmeldedaten dadurch weiterverwenden, obwohl sie nicht mehr gültig sein sollten. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Die Quelldaten nennen keine konkrete Massnahme; die betroffenen Versionsangaben sind in der NVD-Meldung nur unvollständig überliefert.

In Apache IoTDB besteht eine unzureichende Beschränkung von Pfadangaben (Path Traversal). Ein Angreifer kann dadurch beliebige Dateien überall dort schreiben, wo der IoTDB-Prozess Schreibrechte besitzt. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Die Aktualisierung gemäss dem Apache-Advisory für IoTDB einspielen.

In Apache DolphinScheduler besteht eine Schwachstelle durch fehlerhafte Autorisierung an der experimentellen Schnittstelle /v2. Betroffen sind laut Quelle alle Versionen vor 3.4.2. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Auf Apache DolphinScheduler 3.4.2 oder neuer aktualisieren.

In Apache IoTDB besteht eine Schwachstelle durch unsichere Reflection: Der Pipe-Processor liest einen voll qualifizierten Java-Klassennamen aus extern kontrollierter Eingabe und instanziiert die Klasse. Dadurch lassen sich Klassen bzw. Code auswählen, die nicht vorgesehen sind. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das Advisory des Apache-Projekts beachten und auf eine fehlerbereinigte Version aktualisieren.

In der Bibliothek Lucene.Net.Analysis.Common von Apache Lucene.Net werden XML-Referenzen auf externe Entitäten nicht ausreichend eingeschränkt (XXE). Betroffen sind Versionen ab 4.8.0-beta. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Apache::Session::Generate::ModUniqueId (eingeführt in Version 1.54) erzeugt in den Versionen 1.54 bis 1.94 unsichere Perl-Session-IDs, da der Wert der UNIQUE_ID zur Ableitung verwendet wird. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

In Apache Gravitino können nicht authentifizierte Aufrufer über die testConnection-API eine bösartige H2-JDBC-URL übergeben. Über den INIT-Parameter von H2 wird dabei beliebiger Java-Code auf dem Server ausgeführt. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Der Fix für CVE-2024-52046 in Apache MINA AbstractIoBuffer.getObject() war unvollständig: Die Klassen-Allowlist für erlaubte Deserialisierungen wurde zu spät – nach einem statischen Initializer – angewendet. Dadurch blieb die unsichere Deserialisierung weiterhin möglich. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Roxy-WI, eine Weboberfläche zur Verwaltung von HAProxy-, Nginx-, Apache- und Keepalived-Servern, deklariert laut NVD in Version 8.2.6.4 und älter im Install-Blueprint lediglich bp.before_request → @jwt_required(), womit die Absicherung der Routen unvollständig bleibt. CVSS-Basiswert: 9.9 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Roxy-WI auf eine Version neuer als 8.2.6.4 aktualisieren; betroffen sind die damit verwalteten Webserver-Dienste.

Im cas-auth-Plugin besteht in der Standardkonfiguration eine Cross-Site-Request-Forgery-Schwachstelle (CSRF). Ein entfernter Angreifer, der ein Opfer auf eine von ihm kontrollierte Webseite lockt, kann die Lücke laut Quelle ausnutzen. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Der Fix für CVE-2026-41409 wurde nicht auf die Branches 2.1.x und 2.2.x von Apache MINA angewendet. Das ursprüngliche Problem betrifft die Methode AbstractIoBuffer.getObject(), in der der Fix für CVE-2024-52046 unvollständig implementiert wurde. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Bestimmte administrative HTTP-REST-APIs des Apache Doris Frontend (FE) waren ohne ordnungsgemässe Authentifizierung erreichbar. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf den FE-HTTP-Dienst konnte dadurch unautorisierte administrative Aktionen ausführen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Netzwerkzugriff auf den FE-HTTP-Dienst einschränken und Updates gemäss Herstellerangaben einspielen.