Apache Cassandra (Netty): Schwachstelle ermöglicht Denial of Service
WID-SEC-2026-0254 · erstmals 29.01.2026 · aktualisiert 14.09.2026 · CVSS 5,5
Worum es geht
Cassandra ist ein einfaches, verteiltes Datenbankverwaltungssystem für sehr große strukturierte Datenbanken. Ein lokaler Angreifer kann eine Schwachstelle in Apache Cassandra ausnutzen, um einen Denial of Service Angriff durchzuführen.
Unter welchen Bedingungen?
Nur mit Zugriff auf das Gerät oder ein Konto darauf. Oft der zweite Schritt nach einer Phishing-Mail.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- einen Denial of Service Angriff durchzuführen
Bin ich betroffen?
Betroffen sind laut BSI:
- IBM License Metric Tool
- Apache Cassandra <4.0.20
- Apache Cassandra <4.1.11
- Apache Cassandra <5.0.7
- Apache Cassandra <5.1
- IBM Cognos Analytics <12.1.3 FP2
- IBM Cognos Analytics <12.0.4 FP3
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Apache Cassandra 4.0.20
- Apache Cassandra 4.1.11
- Apache Cassandra 5.0.7
- Apache Cassandra 5.1
- IBM Cognos Analytics 12.1.3 FP2
- IBM Cognos Analytics 12.0.4 FP3
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Apache Mailing List vom 2026-01-28 lists.apache.org
- Cassandra issue vom 2026-01-28 issues.apache.org
- Commit Auf GitHub vom 2026-01-28 github.com
- PoC vom 2026-01-28 github.com
- IBM Security Bulletin 7270885 vom 2026-04-27 www.ibm.com
- IBM Security Bulletin 7287209 vom 2026-09-11 www.ibm.com
CVE: CVE-2024-47535
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.