CVE-2026-104713
Beschreibung
Allokation von Ressourcen ohne Grenzen oder Drosselung der Verwundbarkeit im Apache Struts REST Plugin. Ein Anforderungskörper wird in den Speicher gelesen, ohne daran gebunden zu sein, wie viel akzeptiert wird, so dass eine einzelne Anforderung dazu führen kann, dass der Server Speicher im Verhältnis zu seiner Größe zuweist, den Java-Heap erschöpft und anderen Benutzern den Dienst verweigert. Es muss keine zusätzliche Einstellung aktiviert werden. Anwendungen, die das REST-Plugin nicht verwenden, sind nicht betroffen. Dieses Problem betrifft Apache Struts: von 2.1.8 bis 2.3.37, von 2.5.0 bis 2.5.33, von 6.0.0 bis 6.11.0, von 7.0.0 bis 7.3.0. Benutzern wird empfohlen, auf Version 6.12.0 oder 7.4.0 zu aktualisieren, wodurch das Problem behoben wird.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Apache Software Foundation struts.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.