Apache Struts 2: Race Condition legt Datums- und Zeitwerte über Anfragen hinweg offen
Zusammenfassung
Apache Struts 2 verwendet für lokalisierte Meldungen einen gemeinsam genutzten Formatierer, der Datums- oder Zeitargumente formatiert. Bei gleichzeitigen Anfragen kann der Datums- oder Zeitwert eines Benutzers in der Antwort eines anderen Benutzers erscheinen, oder die Darstellung schlägt mit einem Serverfehler fehl. Betroffen sind nur Anwendungen, deren eigene Meldungsdateien Datums- oder Zeitargumente formatieren; kein mit Struts ausgelieferte Meldung tut dies. Der CVE-Eintrag bewertet die Schwachstelle mit CVSS 3.1 8.8 (PR:L), während Apache sie als Moderate einstuft.
Betroffen
- Apache Struts 2.0.0 bis 2.3.37 (EOL)
- Apache Struts 2.5.0 bis 2.5.33 (EOL)
- Apache Struts 6.0.0 bis 6.11.0
- Apache Struts 7.0.0 bis 7.3.0
- Nur Anwendungen mit lokalisierten Meldungen, die Datums- oder Zeitargumente formatieren, sind betroffen.
Behoben in
- Struts 7.x: Upgrade auf 7.4.0
- Struts 6.x: Upgrade auf 6.12.0
- Struts 2.x (EOL): Kein Fix von Apache; eine Migration oder ein Produkt eines Drittanbieters mit erweitertem Support ist erforderlich
Umgehung
- Den Datums- oder Zeitwert im Code formatieren, bevor er an die Meldung übergeben wird, und eine Meldung verwenden, die den bereits formatierten Wert ohne Datums- oder Zeitformat einfügt. Damit wird die Exponierung für diese Meldung beseitigt.
- Anwendungen, deren lokalisierte Meldungen keine Datums- oder Zeitargumente formatieren, benötigen keine Massnahme.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle ausgenutzt wird. CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden. EPSS etwa 0.005.
- Gleichzeitiger normaler Datenverkehr kann das Problem auslösen; eine bösartige Anfrage ist nicht nötig.
Unsere Empfehlung
- Die gesamte Nutzung von Struts 2 inventarisieren, einschliesslich der Abhängigkeit org.apache.struts:struts2-core.
- Auf Struts 7.4.0 oder 6.12.0 aktualisieren. Das finale Artefakt 6.12.0 vor dem Rollout auf Maven Central prüfen.
- Falls eigene Meldungsdateien Datums- oder Zeitargumente formatieren, die Workaround-Massnahme im Code als Zwischenlösung anwenden.
- Migration weg von den EOL-2.x-Linien planen.
- Anwendungslogs auf Serverfehler bei lokalisierten Seiten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Struts S2-078 security bulletin cwiki.apache.org
- oss-security announcement CVE-2026-104714 www.openwall.com
- HeroDevs vulnerability directory www.herodevs.com
- OSV CVE-2026-104714 osv.dev
- Vulners VulnRichment CVE-2026-104714 vulners.com
- HOL Guard CVE-2026-104714 hol.org
- Apache Struts 6.12.0 release github.com
- Apache Struts project struts.apache.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:33.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.