CVE-2026-104712
Beschreibung
Asymmetrische Schwachstelle des Ressourcenverbrauchs (Verstärkung) in Apache Struts. Wenn ein Anforderungsparameter an eine Dezimalstelle mit beliebiger Genauigkeit gebunden ist (java.math). BigDecimal-Eigenschaft, die dann durch die Struts-Tag-Bibliothek gerendert wird, kann das Framework eine Antwort erzeugen, die um viele Größenordnungen größer ist als die Anforderung, so dass ein nicht authentifizierter Remote-Angreifer Server-CPU und Outbound-Netzwerkkapazität mit anhaltendem Datenverkehr mit geringem Volumen ausschöpfen kann. Anwendungen, die Anforderungsparameter nicht an BigDecimal-Eigenschaften binden oder eine solche Eigenschaft niemals über die Struts-Tag-Bibliothek rendern, sind nicht betroffen. Dieses Problem betrifft Apache Struts: von 2.5.14 bis 2.5.33, von 6.0.0 bis 6.11.0, von 7.0.0 bis 7.3.0. Benutzern wird empfohlen, auf Version 6.12.0 oder 7.4.0 zu aktualisieren, wodurch das Problem behoben wird.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Apache Software Foundation struts.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.