Java/OpenJDK (Oracle)

In IBM Java in mehreren Versionen (8 vor SR1, 7 R1 vor SR2 FP11, 7 vor SR9, 6 R1 vor SR8 FP4, 6 vor SR16 FP4, 5.0 vor SR16 FP10) besteht eine nicht näher spezifizierte Schwachstelle, die entfernten Angreifern eine Rechteausweitung ermöglicht. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 2.5 %.

GeoTools ist eine quelloffene Java-Bibliothek für Geodaten-Werkzeuge. Ab Version 30.5 und vor den Versionen 33.6, 34.5 und 33.6 besteht laut Hersteller eine SQL-Injection-Schwachstelle. CVSS-Basiswert: 9.8 (Kritisch).

In Apache Axis2/Java bis Version 2.0.0 besteht laut NVD eine Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten (CWE-502) in der Tribes-basierten Clustering-Komponente, wenn diese auf Apache Tomcat betrieben wird. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt für diesen Eintrag nicht vor.

In Oracle Identity Manager (Komponente: REST WebServices) und Oracle Web Services Manager (Komponente: Web Services) von Oracle Fusion Middleware wurde eine kritische Sicherheitslücke identifiziert. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

In OpenTelemetry Java Instrumentation wurde in Versionen vor 2.26.1 eine kritische Schwachstelle entdeckt: Die RMI-Instrumentierung registrierte einen benutzerdefinierten Endpunkt, der missbraucht werden kann. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

Die Java-Bibliothek mchange-commons-java enthält Code, der frühe JNDI-Implementierungen spiegelt, einschliesslich der Unterstützung für entfernte factoryClassLocation-Werte. Dies ermöglicht das Laden von Remote-Klassen und kann zu kritischen Sicherheitsproblemen führen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %.

Fastjson vor Version 1.2.48 behandelt die autoType-Funktion fehlerhaft: Enthält ein JSON-Dokument einen @type-Schlüssel, dessen Wert der Name einer Java-Klasse ist, können bestimmte öffentliche Methoden dieser Klasse aufgerufen werden. CVSS-Basiswert: 10 (Kritisch). Der Vektor weist einen Scope-Wechsel aus, die Auswirkung reicht also über die verwundbare Komponente hinaus. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Yamcs ist ein Framework für Missionskontrolle. In Versionen vor 5.12.7 nutzt yamcs-core die Nashorn-ScriptEngine, um von Nutzern bereitgestellten JavaScript-Algorithmustext auszuwerten. Dadurch kann nicht vertrauenswürdiger Code zur Ausführung gelangen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Yamcs 5.12.7 oder neuer.

In ArcadeDB vor Version 26.7.2 (arcadedb-engine) erlaubt der ScriptTriggerExecutor Trigger-Skripten den Zugriff auf Host-Klassen aus java.lang.* über Java.type, da dieses Paket zu den erlaubten Paketen hinzugefügt wurde. Laut NVD ist ein authentifizierter Zugriff für die Ausnutzung relevant, die Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 9.8 (Kritisch).

In Java/OpenJDK wurde eine Schwachstelle bei der Deserialisierung nicht vertrauenswürdiger Daten behoben, durch die sich die Klassenregistrierungs-Prüfungen während der Deserialisierung von Java-Lambdas umgehen lassen. Betroffen ist ausschliesslich die Capture-Klasse des Lambdas. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: bereitgestellte Hersteller-Updates einspielen.

In Oracle Platform Security for Java, Teil der Oracle Fusion Middleware, besteht eine Schwachstelle in der Komponente Centralized Thirdparty Jars. Betroffen sind laut Quelle die unterstützten Versionen 12.2.1.4.0 und 14.1.2.0. CVSS-Basiswert: 10 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H – der Angriff ist damit über das Netz ohne Authentifizierung und ohne Benutzerinteraktion möglich und wirkt über die Systemgrenze hinaus. Empfohlene Massnahme: die von Oracle im Rahmen des Critical Patch Update bereitgestellten Fixes einspielen.

Im Java-replace-resolve-Pfad des Apache Fory fory-core Java SDK vor Version 1.1.0 auf Java/JVM-Plattformen erlaubt eine Deserialisierung nicht vertrauenswürdiger Daten einem entfernten Angreifer, die Klassenregistrierung und Typprüfung zu umgehen. Über das Netzwerk lassen sich Vertraulichkeit und Integrität vollständig gefährden. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Aktualisierung auf Apache Fory 1.1.0 oder neuer.

In der Java-Deserialisierung wird resolveProxyClass nicht überschrieben, wodurch sich der acceptMatchers-Filter über java.lang.reflect.Proxy umgehen lässt. Der Fall greift, wenn der serialisierte Datenstrom einen TC_PROXYCLASSDESC-Eintrag enthält. Die Quelle bewertet den Punkt als vollständig adressiert (Assessment: Fully addressed). CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Der SAP NetWeaver Application Server Java (Web Container) erlaubt laut NVD einem nicht authentifizierten Angreifer, eine bösartige HTTP-Logon-Anfrage zu erstellen, die File-Inclusion-Parameter manipuliert und so Path Traversal ermöglicht. Der Angriff ist netzwerkbasiert bei hoher Angriffskomplexität und mit geändertem Berechtigungsumfang (Scope Changed) möglich. CVSS-Basiswert: 9.0 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Im Eclipse BaSyx Java Server SDK (Versionen 2.0.0-milestone-05 bis 2.0.0-milestone-12) sind Deployments mit MongoDB-Backend für einen unauthentifizierten, beliebigen Schreibzugriff auf das Dateisystem (arbitrary file write) über die AAS-Thumbnail-Verarbeitung anfällig. Die Schwachstelle lässt sich ohne vorherige Authentifizierung über das Netzwerk ausnutzen. CVSS-Basiswert: 9 (Kritisch). Aufgrund des kritischen CVSS-Werts sollte die Behebung priorisiert geprüft werden.

NLTK vor Version 3.10.3 validiert laut NVD die per Aufrufparameter übergebenen JVM-Optionen in der Funktion java() nicht, wodurch Angreifer gefährliche JVM-Flags einschleusen können. CVSS-Basiswert: 9.8 (Kritisch). Eine EPSS-Angabe liegt in den Quelldaten nicht vor; die Lücke ist bislang nicht im CISA-KEV-Katalog gelistet.

In Apache IoTDB besteht eine Schwachstelle durch unsichere Reflection: Der Pipe-Processor liest einen voll qualifizierten Java-Klassennamen aus extern kontrollierter Eingabe und instanziiert die Klasse. Dadurch lassen sich Klassen bzw. Code auswählen, die nicht vorgesehen sind. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das Advisory des Apache-Projekts beachten und auf eine fehlerbereinigte Version aktualisieren.

In Oracle Platform Security for Java, einem Bestandteil von Oracle Fusion Middleware (Komponente Centralized Thirdparty Jars), besteht eine Schwachstelle. Laut Quelle sind die unterstützten Versionen 12.2.1.4.0 und 14.1.2.0 betroffen. Der CVSS-Basiswert liegt bei 9.8 (Kritisch); die Ausnutzung erfolgt laut Vektor über das Netzwerk, mit geringer Komplexität, ohne Rechte und ohne Nutzerinteraktion und gefährdet Vertraulichkeit, Integrität und Verfügbarkeit vollständig. Ein fehlerbereinigter Stand sollte gemäss Herstellerangaben eingespielt werden.

Im Produkt Oracle Platform Security for Java (Bestandteil von Oracle Fusion Middleware, Komponente Centralized Thirdparty Jars) besteht laut NVD eine Schwachstelle. Betroffen sind gemäss Quelle die Versionen 12.2.1.4.0 und 14.1.2.0. Der CVSS-Vektor weist die Lücke als über das Netzwerk, ohne Privilegien und ohne Benutzerinteraktion ausnutzbar aus, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

In Apache Gravitino können nicht authentifizierte Aufrufer über die testConnection-API eine bösartige H2-JDBC-URL übergeben. Über den INIT-Parameter von H2 wird dabei beliebiger Java-Code auf dem Server ausgeführt. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

dd-trace-java, der APM-Client von Datadog für Java, registriert in den Versionen 0.40.0 bis vor 1.60.2 über die RMI-Instrumentierung einen eigenen Endpunkt, der eingehende Daten ohne ausreichende Prüfung deserialisiert. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Auf dd-trace-java 1.60.2 oder neuer aktualisieren.

Im Produkt Oracle Platform Security for Java der Oracle Fusion Middleware (Komponente Centralized Thirdparty Jars) besteht eine Schwachstelle. Betroffen sind laut Quelle die Versionen 12.2.1.4.0 und 14.1.2.0. Der CVSS-Basiswert liegt bei 9.9 (Kritisch); der Angriffsvektor ist über das Netzwerk mit niedrigen Rechten und ohne Nutzerinteraktion ausnutzbar und wirkt sich über die betroffene Komponente hinaus aus (Scope: Changed). Aufgrund der kritischen Einstufung sollten die betroffenen Versionen vorrangig auf einen fehlerbereinigten Stand aktualisiert werden.

In cool-admin-java 8.0.0 besteht eine SQL-Injection-Schwachstelle in der Methode order() der Datei CrudOption.java. Angreifer können über manipulierte Eingaben eigene SQL-Anweisungen einschleusen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine bereinigte Version aktualisieren, sobald diese verfügbar ist.

JAD 1.5.8e-1kali1 und frühere Versionen enthalten eine Stack-basierte Pufferüberlauf-Schwachstelle, die es Angreifern ermöglicht, beliebigen Code auszuführen, indem übermässig grosse Eingaben die Puffergrenzen überschreiten. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.