Java/OpenJDK (Oracle) Seite 2

JAD Java Decompiler 1.5.8e-1kali1 und frühere Versionen enthalten eine Stack-basierte Pufferüberlauf-Schwachstelle, die Angreifern die Ausführung beliebigen Codes durch überlange Eingaben ermöglicht. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Die Java Key Vault Keys-Bibliothek im Azure SDK für Java enthält einen Fehler im lokalen kryptografischen Verifizierungspfad, bei dem der Vergleich von Authentifizierungs-Tags fehlerhaft implementiert wurde. In betroffenen Anwendungen kann dies die Sicherheitsgarantien der kryptografischen Verifikation untergraben. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Eine fehlerhafte Zugriffskontrolle in der Komponente /user/edit/ von hope-boot v1.0.0 erlaubt Angreifern, die Authentifizierung über eine präparierte GET-Anfrage zu umgehen. CVSS-Basiswert: 9.8 (Kritisch).

Das Schema-Parsing im Modul parquet-avro von Apache Parquet 1.15.0 und früheren Versionen erlaubt Angreifern die Ausführung von beliebigem Code. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 1.15.1, die das Problem behebt.

Der Administrator Log Viewer im SAP NetWeaver Administrator AS Java (Version 7.50) erlaubt es einem Angreifer mit hohen Berechtigungen, potenziell gefährliche Dateien hochzuladen, was zu einer Command-Injection-Schwachstelle führt. Dadurch kann der Angreifer Befehle ausführen, die die Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung stark beeinträchtigen. CVSS-Basiswert: 9.1 (Kritisch).

SAP CommonCryptoLib führt notwendige Authentifizierungsprüfungen nicht durch, was zu fehlenden oder falschen Autorisierungsprüfungen für authentifizierte Benutzer und damit zu einer Rechteausweitung führen kann. Je nach Anwendung und erlangten Rechten könnte ein Angreifer eingeschränkte Funktionen missbrauchen sowie geschützte Daten lesen, ändern oder löschen. CVSS-Basiswert: 9.8 (Kritisch).

Der Aerospike Java Client deserialisiert vor den Versionen 7.0.0, 6.2.0, 5.2.0 und 4.5.0 bestimmte vom Server empfangene Java-Objekte ohne weitere Validierung. Angreifer, die einen Client zur Kommunikation mit einem bösartigen Server verleiten, können präparierte Objekte einschleusen, die nach der Deserialisierung beliebigen Code ausführen und die Kontrolle über die Client-Maschine ermöglichen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Update auf Version 7.0.0, 6.2.0, 5.2.0 oder 4.5.0 einspielen.

In der Visual Studio Code Java Extension Pack besteht laut NVD eine Schwachstelle zur Remote-Code-Ausführung. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 61.4 %.

Die Apache-Xalan-Java-XSLT-Bibliothek ist anfällig für eine Integer-Truncation beim Verarbeiten manipulierter XSLT-Stylesheets; dadurch können von XSLTC intern erzeugte Java-Klassendateien beschädigt werden. CVSS-Basiswert: 7.5 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 11.0 %.

In den PG-Modulen von Legion of the Bouncy Castle BC-JAVA (bcpg) können Ressourcen ohne Begrenzung oder Drosselung belegt werden, was zu einem unkontrollierten Ressourcenverbrauch führt. Betroffen sind laut Quelldaten alle PG-Module. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Empfohlene Massnahme: auf eine bereinigte Version der Bibliothek aktualisieren.

Im Kern von Legion of the Bouncy Castle BC-Java besteht eine Schwachstelle über einen verdeckten Timing-Kanal (Covert Timing Channel), die mit den Programmdateien FrodoEngine.java verknüpft ist und alle Kernmodule betrifft. Die Lücke ist über das Netzwerk ohne Benutzerinteraktion ausnutzbar und wirkt sich auf die Vertraulichkeit aus. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: Aktualisierungen des Herstellers verfolgen und einspielen, sobald verfügbar.

HAPI FHIR ist eine vollständige Java-Implementierung des HL7-FHIR-Standards für die Interoperabilität im Gesundheitswesen. In Versionen vor 6.9.9 und 6.9.4.2 akzeptieren alle Implementierungen des FHIRPathEngine beliebige FHIRPath-Ausdrücke, was die Verfügbarkeit beeinträchtigen kann. Der Angriff ist über das Netzwerk ohne Rechte oder Nutzerinteraktion möglich. CVSS-Basiswert: 7.5 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: Aktualisierung auf HAPI FHIR 6.9.9 bzw. 6.9.4.2 oder neuer.

In den ClickHouse-Komponenten clickhouse-r2dbc, com.clickhouse:clickhouse-jdbc und com.clickhouse:clickhouse-client in Versionen kleiner als 0.4.6 werden über Ausnahmen (Exceptions) sensible Informationen offengelegt, was unberechtigten Nutzern Zugriff ermöglicht. CVSS-Basiswert: 8.8 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: auf Version 0.4.6 oder neuer aktualisieren.

In den bcpkix-Modulen von Legion of the Bouncy Castle (BC-JAVA bcpkix sowie BCPKIX-FIPS) besteht eine Schwachstelle durch die Verwendung eines fehlerhaften oder riskanten kryptografischen Algorithmus (Use of a Broken or Risky Cryptographic Algorithm). CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

c3p0, eine Bibliothek für JDBC-Connection-Pooling, ist anfällig für Angriffe über bösartig gestaltete Java-serialisierte Objekte und javax.naming.Reference-Instanzen. Betroffen sind laut Quelle mehrere ConnectionPoolDataSource-Implementierungen von c3p0. CVSS-Basiswert: 8.0 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In Eclipse BaSyx Java Server SDK vor Version 2.0.0-milestone-10 validiert die Funktion Operation Delegation die Ziel-URI weitergeleiteter Anfragen nicht. Ein nicht authentifizierter, entfernter Angreifer kann dies ausnutzen. CVSS-Basiswert: 8.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf Version 2.0.0-milestone-10 oder neuer aktualisieren.

JLine ist eine Java-Bibliothek zur Verarbeitung von Konsoleneingaben. In Versionen vor 3.30.14, 4.0.16 und 4.2.1 setzt das remote-telnet-Modul des Telnet-Servers von JLine3 keine obere Grenze für die über die Verbindung empfangenen Terminaldimensionen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Aktualisierung auf Version 3.30.14, 4.0.16 oder 4.2.1.

JLine ist eine Java-Bibliothek zur Verarbeitung von Konsoleneingaben. In den Versionen vor 3.30.14, 4.0.16 und 4.2.1 begrenzt das Remote-Telnet-Modul des JLine3-Telnet-Servers die Anzahl der von einem Client übermittelten Umgebungsvariablen nicht. Dies kann laut CVSS-Vektor die Verfügbarkeit beeinträchtigen (AV:N/PR:N/A:H). CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine der bereitgestellten fehlerbereinigten Versionen aktualisieren.

Wire stellt gRPC und Protocol Buffers für Android, Kotlin, Swift und Java bereit. Vor den Versionen 6.3.0 und 7.0.0-alpha03 validieren ByteArrayProtoReader32.skipGroup() und ProtoReader.skipGroup() in wire-runtime übergebene Eingaben unzureichend. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Laut NVD-Quellbeschreibung ist CedarJava eine quelloffene Java-Implementierung der Cedar-Policy-Sprache, die für fein granulare Autorisierungsentscheidungen eingesetzt wird. In Versionen vor 2.3.6, 3.4.1 und 4.9.0 kann es unter bestimmten Umständen zu einer fehlerhaften Verarbeitung kommen. Der CVSS-Vektor (AV:N/AC:L/PR:L/UI:N) weist auf eine über das Netzwerk mit niedrigen Rechten ausnutzbare Lücke hin, die Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittieren kann. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf CedarJava 2.3.6, 3.4.1 bzw. 4.9.0 oder neuer aktualisieren. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Eine Schwachstelle in der Komponente Scripting von Oracle Java SE betrifft laut NVD die Versionen 8u491, 8u491-perf und 11.0.31. Die leicht ausnutzbare Lücke erlaubt einem nicht authentifizierten Angreifer einen Angriff über das Netzwerk; der CVSS-Vektor weist ausschliesslich Auswirkungen auf die Verfügbarkeit aus. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: die von Oracle bereitgestellten Java-Aktualisierungen einspielen.

IBM WebSphere Application Server 8.5 und 9.0 sowie IBM WebSphere Application Server – Liberty Continuous Delivery weisen laut NVD einen Fehler in der ORB-Komponente des IBM SDK, Java Technology Edition, auf. CVSS-Basiswert: 8.1 (Hoch). Ein EPSS-Wert liegt nicht vor.

In JeecgBoot 3.9.0 und 3.9.1 betrifft eine Schwachstelle eine unbekannte Funktion im Bereich jeecg-boot/jeecg-module-system/jeecg-system-biz. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Herstellerhinweise beachten und ein Update einspielen, sobald verfügbar.

In DTStack Taier bis Version 1.4.0 besteht eine Schwachstelle in der Funktion preHandle des Login-Interceptors (taier-data-develop). Die Schwachstelle lässt sich über das Netzwerk ausnutzen. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In SonicCloudOrg sonic-agent bis einschliesslich Version 2.7.2 wurde eine Schwachstelle in einer Funktion der ExchangeController-Komponente festgestellt. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine bereinigte Version aktualisieren, sobald verfügbar.

In der Industrial Application Software IAS Canias ERP 8.03 betrifft eine Schwachstelle die Funktion iasServerRemoteInterface.doAction der Komponente Java RMI Session Management. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Herstellerhinweise beachten und ein Update einspielen, sobald verfügbar.

In der sshd-scp-Komponente von Apache MINA SSHD, einer Java-Bibliothek für SSH auf Client- und Server-Seite, besteht eine Path-Traversal-Schwachstelle. Beim Empfang von Dateien oder Verzeichnissen über SCP kann dies zum Schreiben von Daten ausserhalb des vorgesehenen Zielpfads führen. CVSS-Basiswert: 7.5 (Hoch).

Die Artemis Java Test Sandbox in Versionen vor 1.7.6 ist laut NVD für einen Sandbox-Escape anfällig, wenn ein Angreifer eine spezielle Unterklasse von InvocationTargetException konstruiert. Dies lässt sich missbrauchen, um Code ausserhalb der Sandbox auszuführen. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Version 1.7.6 oder neuer aktualisieren.

In Oracle Java SE (Komponente Scripting) besteht in den betroffenen Versionen 8u491, 8u491-perf und 11.0.31 eine Schwachstelle, die laut Quelle von nicht authentifizierten Angreifern ausgenutzt werden kann. Der CVSS-Basiswert liegt bei 7.4 (Hoch); die Ausnutzung erfolgt laut Vektor über das Netzwerk ohne Rechte und ohne Nutzerinteraktion, ist jedoch schwierig durchzuführen, und gefährdet Vertraulichkeit und Integrität. Ein fehlerbereinigter Stand sollte eingespielt werden.

Die Artemis Java Test Sandbox in Versionen vor 1.8.0 ist für einen Sandbox-Ausbruch anfällig, wenn ein Angreifer Klassendateien in ein Paket einbringt, dem Ares vertraut. Dadurch lässt sich beliebiger Code ausführen. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Artemis Java Test Sandbox 1.8.0 oder neuer aktualisieren.

CedarJava ist eine quelloffene Java-Implementierung der Cedar-Policy-Sprache, die für feingranulare Autorisierungsentscheidungen eingesetzt wird. In Versionen vor 4.9.0 weist die Methode EntityIdentifier.equals() eine invertierte Null-Prüfung auf. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 4.9.0 oder neuer aktualisieren.

In der Komponente sshd-git von Apache MINA SSHD besteht unter Windows eine Path-Traversal-Schwachstelle. Apache MINA SSHD ist eine Java-Bibliothek für client- und serverseitige SSH-Funktionen; ein mit dieser Komponente umgesetzter Git-Server ist betroffen. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: verfügbare Hersteller-Updates einspielen.

Die AsyncHttpClient-Bibliothek (AHC) erlaubt Java-Anwendungen das einfache Ausführen von HTTP-Anfragen und die asynchrone Verarbeitung von Antworten. Betroffen sind laut Quelle Versionen des 2.x-Zweigs vor 2.15.0 und des 3.x-Zweigs vor einer korrigierten Version. CVSS-Basiswert: 7.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine korrigierte Version der Bibliothek aktualisieren.

Der Endpunkt POST /api/v1/convert/url/pdf von Stirling-PDF (ConvertWebsiteToPDF.java) wurde laut NVD nicht mit den SSRF-Schutzmassnahmen CustomHtmlSanitizer/SsrfProtectionService nachgerüstet, die in verwandten Controllern der Anwendung bereits vorhanden sind. Dadurch besteht ein Server-Side-Request-Forgery-Risiko über diesen Endpunkt. CVSS-Basiswert: 8.6 (Hoch). In den vorliegenden Quelldaten ist keine Ausnutzungswahrscheinlichkeit (EPSS) angegeben.

In den Core-Modulen von Legion of the Bouncy Castle BC-JAVA (bcprov) besteht eine Schwachstelle durch die Verwendung eines defekten oder riskanten kryptografischen Algorithmus. Betroffen sind laut Quelldaten alle Core-Module. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine bereinigte Version der Bibliothek aktualisieren.

In appsmithorg appsmith bis einschliesslich Version 1.97 besteht in der Funktion computeDisallowedHosts eine Schwachstelle. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In crmeb crmeb_java 1.4 besteht eine Schwachstelle in der Funktion RestTemplate.getForEntity der Datei crmeb-common/src/main/java/com/zbkj/common/utils/RestTemplateUtil.java. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

In Oracle Platform Security for Java, Teil der Oracle Fusion Middleware, besteht eine Schwachstelle in der Komponente Centralized Thirdparty Jars. Betroffen sind laut Quelle die unterstützten Versionen 12.2.1.4.0 und 14.1.2.0. CVSS-Basiswert: 8.8 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H – der Angriff erfolgt über das Netz und erfordert lediglich niedrige Privilegien, jedoch keine Benutzerinteraktion. Empfohlene Massnahme: die von Oracle im Rahmen des Critical Patch Update bereitgestellten Fixes einspielen.

In PowerJob 5.1.0, 5.1.1 und 5.1.2 betrifft eine Schwachstelle eine unbekannte Funktion im Bereich powerjob-server/powerjob-server-starter, einem Controller der Server-Komponente. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Herstellerhinweise beachten und ein Update einspielen, sobald verfügbar.

Im Produkt Oracle Platform Security for Java der Oracle Fusion Middleware (Komponente Centralized Thirdparty Jars) besteht eine Schwachstelle. Betroffen sind laut Quelle die Versionen 12.2.1.4.0 und 14.1.2.0. Der CVSS-Basiswert liegt bei 8.8 (Hoch); der Angriffsvektor ist über das Netzwerk mit niedrigen Rechten und ohne Nutzerinteraktion ausnutzbar und gefährdet Vertraulichkeit, Integrität und Verfügbarkeit. Die betroffenen Versionen sollten auf einen fehlerbereinigten Stand aktualisiert werden.

In Oracle Platform Security for Java, einem Bestandteil von Oracle Fusion Middleware (Komponente Centralized Thirdparty Jars), besteht laut Quelle eine Schwachstelle in den unterstützten Versionen 12.2.1.4.0 und 14.1.2.0. Die Schwachstelle ist laut Vektor über das Netzwerk mit niedrigen Rechten und ohne Nutzerinteraktion ausnutzbar und wirkt sich vollständig auf Vertraulichkeit, Integrität und Verfügbarkeit aus. CVSS-Basiswert: 8.8 (Hoch). Ein fehlerbereinigter Stand sollte gemäss Oracle-Advisory eingespielt werden.

HAPI FHIR ist eine vollständige Java-Implementierung des HL7-FHIR-Standards für die Interoperabilität im Gesundheitswesen. Vor Version 6.9.0 setzt der interne HTTP-Client beim Setzen von Headern in HTTP-Anfragen die Header fehlerhaft. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 6.9.0 oder neuer aktualisieren.

Der SAP NetWeaver Application Server Java erlaubt es nicht authentifizierten Angreifern, über präparierte URLs schädlichen JavaScript-Code einzuschleusen. Ruft ein Opfer eine solche URL auf, wird das Skript im Browser des Nutzers ausgeführt (Cross-Site-Scripting). Der CVSS-Basiswert liegt bei 8.2 (Hoch). Betroffen sind Produkte von SAP, SuccessFactors (SAP) sowie Java/OpenJDK (Oracle).

Im Produkt Oracle Platform Security for Java (Bestandteil von Oracle Fusion Middleware, Komponente Centralized Thirdparty Jars) besteht laut NVD eine Schwachstelle. Betroffen sind gemäss Quelle die Versionen 12.2.1.4.0 und 14.1.2.0. Der CVSS-Vektor weist die Lücke als über das Netzwerk, mit niedrigen Privilegien und ohne Benutzerinteraktion ausnutzbar aus, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 8.8 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

In Oracle Java SE, Oracle GraalVM for JDK und Oracle GraalVM Enterprise Edition (Komponente Libraries) besteht in mehreren unterstützten Versionen eine Schwachstelle. Der CVSS-Basiswert liegt bei 7.5 (Hoch); die Ausnutzung erfolgt laut Vektor über das Netzwerk ohne Rechte und ohne Nutzerinteraktion und gefährdet die Integrität. Ein fehlerbereinigter Stand sollte eingespielt werden.

In Oracle Platform Security for Java, Teil der Oracle Fusion Middleware, besteht eine Schwachstelle in der Komponente Centralized Thirdparty Jars. Betroffen sind laut Quelle die unterstützten Versionen 12.2.1.4.0 und 14.1.2.0. CVSS-Basiswert: 8.8 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H – der Angriff erfolgt über das Netz und erfordert lediglich niedrige Privilegien, jedoch keine Benutzerinteraktion. Empfohlene Massnahme: die von Oracle im Rahmen des Critical Patch Update bereitgestellten Fixes einspielen.

In SMSGate sms-core bis Version 2.1.13.6 ermöglicht eine Schwachstelle im Cmpp7FDeliverRequestMessageCodec die Remote-Ausführung beliebigen Codes durch entfernte Angreifer. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Appium Java Client, das Java-Sprachbinding für Appium-Tests nach dem W3C-WebDriver-Protokoll, ist in den Versionen 8.2.1 bis 10.1.1 betroffen: Bei aktivierter Option directConnect(true) weist der AppiumCommandExecutor laut NVD eine Schwachstelle auf. CVSS-Basiswert: 8.2 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt aus den Quelldaten aktuell nicht vor. Weitere technische Details liegen in der Quellbeschreibung nur gekürzt vor.

In aiflowy bis einschliesslich Version 2.1.2 können entfernte Angreifer laut NVD über die Datei JobUtil.java an vertrauliche Informationen gelangen. Der CVSS-Vektor weist die Lücke als über das Netzwerk, ohne Privilegien und ohne Benutzerinteraktion ausnutzbar aus, mit Auswirkung auf die Vertraulichkeit. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im Produkt Oracle Platform Security for Java (Bestandteil von Oracle Fusion Middleware, Komponente Centralized Thirdparty Jars) besteht laut NVD eine Schwachstelle. Betroffen sind gemäss Quelle die Versionen 12.2.1.4.0 und 14.1.2.0. Der CVSS-Vektor weist die Lücke als über das Netzwerk, mit hoher Angriffskomplexität, niedrigen Privilegien und ohne Benutzerinteraktion ausnutzbar aus, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.