CVE-2026-104714
Beschreibung
Gleichzeitige Ausführung mit gemeinsam genutzter Ressource mit unsachgemäßer Synchronisationsanfälligkeit ("Rennbedingung") in Apache Struts. Wenn eine lokalisierte Nachricht ein Datums- oder Zeitargument formatiert, wird der Formatierer, der für diese Nachricht vom anwendungsweiten Textanbieter beibehalten wird, von gleichzeitig bedienten Anforderungen ohne Isolation verwendet, so dass ein Wert, der zu einem Benutzer gehört, in der Antwort eines anderen Benutzers erscheinen kann, oder das Rendern kann fehlschlagen und als Serverfehler erscheinen. Anwendungen, deren lokalisierte Nachrichten kein Datums- oder Zeitargument formatieren, sind nicht betroffen. Dieses Problem betrifft Apache Struts: von 2.0.0 bis 2.3.37, von 2.5.0 bis 2.5.33, von 6.0.0 bis 6.11.0, von 7.0.0 bis 7.3.0. Benutzern wird empfohlen, auf Version 6.12.0 oder 7.4.0 zu aktualisieren, wodurch das Problem behoben wird.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Apache Software Foundation struts.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.