IBM WebSphere Application Server: Umgehung der kryptografischen Signaturprüfung
Zusammenfassung
IBM WebSphere Application Server Liberty (17.0.0.3 bis 26.0.0.10) sowie der klassische WebSphere Application Server 8.5 und 9.0 prüfen kryptografische Signaturen nicht korrekt. Ein entfernter, nicht authentifizierter Angreifer kann diese Prüfung umgehen, was laut IBM eine hohe Auswirkung auf Vertraulichkeit und Integrität hat. Gemäss IBM betrifft die Schwachstelle Liberty-Installationen mit den Features openidConnectClient-1.0, openidConnectServer-1.0, socialLogin-1.0, jwt-1.0 oder jwtSso-1.0; die Angriffskomplexität ist hoch.
Betroffen
- WebSphere Application Server Liberty 17.0.0.3 bis 26.0.0.10 (relevant, wenn die Features openidConnectClient-1.0, openidConnectServer-1.0, socialLogin-1.0, jwt-1.0 oder jwtSso-1.0 verwendet werden)
- WebSphere Application Server 8.5
- WebSphere Application Server 9.0
Behoben in
- Liberty: Interim Fix für APAR DT502997 oder Fix Pack 26.0.0.11 oder neuer (geplante Verfügbarkeit 4Q2026)
- Klassisch 9.0.0.0 bis 9.0.5.29: Interim Fix für APAR DT503882 oder Fix Pack 9.0.5.30 oder neuer (geplante Verfügbarkeit 4Q2026)
- Klassisch 8.5.0.0 bis 8.5.5.31: Interim Fix für APAR DT503882 oder Fix Pack 8.5.5.32 oder neuer (geplante Verfügbarkeit 4Q2026)
Umgehung
- IBM dokumentiert keine Workaround- oder Mitigationsmassnahme.
- Nicht von IBM bestätigte allgemeine Massnahme: Die JWT-, OIDC- und Social-Login-Features auf Liberty-Servern deaktivieren, die sie nicht benötigen, bis der Fix eingespielt ist.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden; ein Drittanbieter-Tracker führt die Schwachstelle nicht im CISA-KEV-Katalog.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS: 0.21 Prozent.
Unsere Empfehlung
- Alle Liberty- und WebSphere-8.5/9.0-Instanzen identifizieren und prüfen, ob die JWT-, OIDC- oder Social-Login-Features aktiviert sind.
- Für jede Produktlinie den von IBM aufgeführten Interim Fix oder das Fix Pack einspielen, zuerst bei Systemen mit Internetzugang.
- Nicht benötigte Token- und SSO-Features bis zum Abschluss der Patchung deaktivieren.
- NVD und den CISA-KEV-Katalog erneut prüfen, da die NVD-Analyse noch aussteht.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin CVE-2026-101294 www.ibm.com
- OpenLiberty docs issue 8583 github.com
- CVE-2026-101294 on CVEdetails (IBM WebSphere Application Server) www.cvedetails.com
- CVE-2026-101294 on Strix www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.