Worum es geht

Apache Commons ist ein Apache-Projekt, das alle Aspekte der wiederverwendbaren Java-Komponenten behandelt. Apache Tomcat ist ein Web-Applikationsserver für verschiedene Plattformen. Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Apache Commons und Apache Tomcat ausnutzen, um einen Denial of Service Angriff durchzuführen.

Unter welchen Bedingungen?

Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.

Was schlimmstenfalls passieren kann

Ein Angreifer könnte die Lücke nutzen, um

• einen Denial of Service Angriff durchzuführen

Bin ich betroffen?

Betroffen sind laut BSI:

• IBM Business Automation Workflow 21.0.2
• IBM Business Automation Workflow 21.0.3
• IBM Business Automation Workflow 22.0.1
• Debian Linux
• IBM WebSphere Service Registry and Repository 8.5
• IBM Tivoli Monitoring 6.3.0.7
• IBM Business Automation Workflow 18.0.0.0
• IBM Business Automation Workflow 18.0.0.1
• Amazon Linux 2
• IBM Business Automation Workflow 18.0.0.2
• IBM Business Automation Workflow 19.0.0.1
• Apache Tomcat

und 48 weitere

Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.

Was hilft?

Aktualisieren auf mindestens:

• Apache Commons FileUpload 1.5
• IBM Tivoli Netcool/OMNIbus 8.1.0 FP30
• IBM Tivoli Business Service Manager 6.2.0.5
• Dell NetWorker 19.9.0.1
• IBM Rational Change 5.3.2.6
• Red Hat JBoss Web Server 5.7.4
• IBM Rational Build Forge 8.0.0.24

Wird die Lücke schon ausgenutzt?

Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.