OmniFaces: Gefälschte kombinierte Ressourcen-IDs ermöglichen Speichererschöpfung und Offenlegung

Zusammenfassung

OmniFaces, eine Hilfsbibliothek für Jakarta Faces, akzeptiert kombinierte Ressourcen-IDs, ohne zu prüfen, ob der Server diese ausgestellt hat. Ein entfernter Angreifer ohne Berechtigungen kann gefälschte IDs senden, um eine unbegrenzte Dekomprimierung und eine Speichererschöpfung auszulösen, dauerhafte Einträge in einem serverseitigen Cache hinzuzufügen und Facelets-Quelldateien aus dem Ressourcenbaum offenzulegen. Wenn das Wildcard-CDN-Mapping konfiguriert ist, kann eine präparierte ID zudem einen begrenzten, blinden serverseitigen Abruf auslösen. Gemäss CVE-Eintrag sind ein beliebiges Lesen von Dateien und ein beliebiges SSRF nicht möglich.

Betroffen

• Versionen vor 1.14.3
• Versionen 2.0 bis vor 2.7.33
• Versionen 3.0 bis vor 3.14.23
• Versionen 4.0 bis vor 4.7.12
• Versionen 5.0 bis vor 5.4.2

Behoben in

• 1.14.3
• 2.7.33
• 3.14.23
• 4.7.12
• 5.4.2

Umgehung

• Unbekannt. Es wurde keine vom Hersteller herausgegebene Umgehungsmassnahme identifiziert. Die Behebung besteht im Upgrade auf eine korrigierte Version.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• Nicht im CISA-KEV-Katalog aufgeführt.
• In den geprüften Quellen wurde kein öffentlicher Proof of Concept bestätigt.

Unsere Empfehlung

• OmniFaces auf die korrigierte Version der jeweiligen Release-Linie aktualisieren.
• Nicht auf die frühere Korrektur für CVE-2026-41883 verlassen; das Verhalten mit gefälschten IDs wird nur durch die oben genannten korrigierten Versionen behoben.
• Aus dem Internet erreichbare Jakarta-Faces-Anwendungen, die OmniFaces verwenden, identifizieren und priorisieren.
• Falls das Wildcard-CDN-Mapping verwendet wird, dessen Konfiguration überprüfen.
• Speicherauslastung und Anfragen an den Ressourcen-Handler auf Auffälligkeiten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-fp43-vj7g-pg92 github.com
• OmniFaces fix commit aa42da3 github.com
• OmniFaces release 1.14.3 github.com
• OmniFaces release 2.7.33 github.com
• OmniFaces release 3.14.23 github.com
• OmniFaces release 4.7.12 github.com
• OmniFaces release 5.4.2 github.com
• OSV entry CVE-2026-102695 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:25.