CVE-2026-78254

Beschreibung

Die ftp- und scp-Aufgaben von Apache Ant können Dateien von einem entfernten Server herunterladen. Ein bösartiger Server kann relative Pfade bereitstellen, die es ihm ermöglichen, außerhalb des dedizierten Zielverzeichnisses für den Download zu schreiben, wodurch es möglich ist, Dateien nach Wahl des Angreifers mit den Berechtigungen des Benutzers, der Ant in Versionen vor Ant 1.10.18 ausführt, zu überschreiben. Um diese Sicherheitsanfälligkeit auszunutzen, müsste der Server entweder bösartig sein oder einem Machine-in-the-Middle-Angriff ausgesetzt sein. Darüber hinaus muss der Server im Falle von scp oder der ftp-Task mit ftps die von den Tasks durchgeführten Server-Identitätsprüfungen bestehen. Für ftp-aufgaben, die keine ftps verwenden, könnte ein bösartiger server als maschine in der mitte fungieren, um bösartige dateien bereitzustellen. Ab Ant 1.10.18 verhindern beide Aufgaben standardmäßig das Schreiben außerhalb des Zielverzeichnisses. Eine Option ist verfügbar, um dieses Verhalten in dem unwahrscheinlichen Fall zu deaktivieren, dass das alte Verhalten von vorhandenen Build-Dateien benötigt wird. Mitigations: Benutzer von scp und ftp (bei Verwendung von ftps) in jeder Version von Ant sollten die Identitätsprüfung des Servers nicht umgehen. Benutzer von ftp, die keine ftps verwenden, sollten nach möglichkeit zu ftps wechseln. Allen Benutzern wird empfohlen, ein Upgrade auf Apache Ant 1.10.18 durchzuführen, wodurch dieses Problem behoben wird.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation ant.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.