CVE-2026-92415
Beschreibung
- Verwendung extern gesteuerter Eingaben zur Auswahl von Klassen oder Code-Schwachstellen im Apache Jackrabbit WebDAV/Davex-Client. Ein bösartiger WebDAV/DavEx-Server oder ein Angreifer, der die Verbindung abfangen kann, kann dazu führen, dass der Client willkürliche Klassen aus seinem Klassenpfad instanziiert, was zu einer willkürlichen Dateierstellung oder -abkürzung führen kann. Nur Anwendungen, die jackrabbit-spi2dav (direkt oder über jackrabbit-jcr2dav) verwenden, um eine Verbindung zu einem entfernten Repository herzustellen, sind betroffen. Jackrabbit-Server sind nicht betroffen. Kategorie: unsichere Reflexion auf Drahtdaten (HIGH). Dieses Problem betrifft Apache Jackrabbit: von 2.23.0 bis 2.23.5, von 2.22.0 bis 2.22.4, von 2.20.0 bis 2.20.17. Benutzern wird empfohlen, auf die Versionen 2.23.6, 2.22.5 oder 2.20.18 zu aktualisieren, die das Problem beheben.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Apache Software Foundation jackrabbit.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.