Apache Directory LDAP API: Unsichere Deserialisierung von Java-Code aus LDAP-Schema
Zusammenfassung
Die Apache Directory LDAP API, eine Java-Bibliothek für den LDAP-Zugriff, deserialisiert Java-Klassen, die in Schema-Objekten von LDAP-Servern bei loadSchema()-Subschema-Abfragen enthalten sind. Ein böswilliger oder kompromittierter LDAP-Server oder ein Man-in-the-Middle-Angreifer vor dem Aufbau von TLS kann dies für eine mögliche Remote Code Execution in der Client-Anwendung nutzen. Der CVSS-3.1-Basiswert beträgt 9.8 (kritisch), und es sind keine Anmeldedaten erforderlich.
Betroffen
- Apache Directory LDAP API 2.1.0 bis vor 2.1.9
- Standardkonfiguration: nicht betroffen
- 1.x-Zweig: unbestätigt, nicht von einer Betroffenheit oder Behebung ausgehen
- Debian-Pakete 2.1.2-1 und 2.1.2-2 sind im Debian-Tracker als betroffen aufgeführt
Behoben in
- Apache Directory LDAP API 2.1.9
Umgehung
- Unbekannt. Der Hersteller empfiehlt ein Update. Drittanbieter-Hinweise schlagen vor, für Kopien, die nicht direkt gepatcht werden können (zum Beispiel Shaded- oder transitive Kopien), eine Mindestversion festzulegen und den LDAP-Verkehr einzuschränken.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle in freier Wildbahn ausgenutzt wird.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden. EPSS-Score 0.00000.
Unsere Empfehlung
- Java-Anwendungen und Appliances inventarisieren, die die LDAP API verwenden, einschliesslich Shaded- und transitiver Kopien in Lockfiles und JAR-Dateien.
- Auf Apache Directory LDAP API 2.1.9 oder neuer aktualisieren.
- LDAPS oder StartTLS mit Zertifikatsprüfung für Verbindungen zu Verzeichnisservern erzwingen.
- Festlegen, welche LDAP-Server Clients erreichen dürfen, und unerwartete Verzeichnisverbindungen überwachen.
- Beim Hersteller klären, ob der 1.x-Zweig betroffen ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- oss-security post (Openwall) www.openwall.com
- Apache mailing list thread lists.apache.org
- Apache Directory LDAP API project page directory.apache.org
- CVE record (CVE.org) vulners.com
- Debian security tracker (OSV) osv.dev
- OpenCVE entry app.opencve.io
- Linux Security news summary linuxsecurity.com
- HOL Guard CVE entry hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:27.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.