CVE-2026-84939

Beschreibung

Path-Traversal-Schwachstelle im Apache FreeMarker-Vorlagenlademechanismus, wenn der Angreifer eine willkürliche fehlerhafte Lokalkennung für FreeMarker angeben kann und die lokalisierte Lookup-Konfigurationseinstellung aktiviert ist (standardmäßig aktiviert). Dieses Problem betrifft Apache FreeMarker von 2.2.0 bis 2.3.34. Benutzern wird empfohlen, auf Version 2.3.35 zu aktualisieren. Das Deaktivieren des lokalisierten Lookups in früheren Versionen mindert dies ebenfalls. Beachten Sie, dass selbst in Versionen, die von dieser Sicherheitsanfälligkeit betroffen sind, die Dateien, die geladen werden können, durch den TemplateLoader eingeschränkt bleiben, für den FreeMarker konfiguriert ist. Insbesondere verhindert FileTemplateLoader Versuche, außerhalb des in seinem Konstruktor angegebenen baseDir zu reisen. Andere TemplateLoader-Implementierungen ermöglichen möglicherweise den Zugriff außerhalb des festgelegten Basisverzeichnisses, sind jedoch immer noch durch den zugrunde liegenden Speichermechanismus eingeschränkt - beispielsweise kann ein Loader, der einen Java-Klassenlader umhüllt, nur auf Ressourcen zugreifen, die der Klassenlader laden kann, während ein Umwickeln eines Webanwendungskontexts nur auf Ressourcen zugreifen kann, die über diesen Kontext verfügbar sind.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation freemarker.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.