IBM WebSphere Application Server Liberty: Fehlende Zugriffskontrolle zwischen Servern
Zusammenfassung
IBM WebSphere Application Server Liberty in den Versionen 17.0.0.3 bis 26.0.0.10 isoliert Server, die dieselbe Installation teilen, nicht ausreichend. Die Schwachstelle betrifft Systeme, auf denen das Feature restConnector-1.0 oder restConnector-2.0 aktiviert ist. Ein Angreifer mit niedrigen Berechtigungen auf einem Server könnte die Vertraulichkeit und Integrität anderer Server auf derselben Installation beeinträchtigen; die Angriffskomplexität ist hoch und es ist keine Benutzerinteraktion erforderlich.
Betroffen
- IBM WebSphere Application Server Liberty 17.0.0.3 bis 26.0.0.10
- Nur relevant, wenn das Feature restConnector-1.0 oder restConnector-2.0 aktiviert ist
- Produkte, die Liberty enthalten, können ebenfalls betroffen sein
Behoben in
- Upgrade auf das für den Interim Fix minimal erforderliche Fix-Pack-Level, danach Installation des Interim Fix für APAR DT503659
- Liberty Fix Pack 26.0.0.11 oder neuer (gemäss IBM voraussichtliche Verfügbarkeit 4Q2026)
Umgehung
Unbekannt. IBM nennt keine Workarounds oder Massnahmen.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof-of-Concept gefunden.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob das Feature restConnector-1.0 oder restConnector-2.0 auf Ihren Liberty-Servern aktiviert ist, anhand der Anleitung von IBM zur Feature-Ermittlung.
- Prüfen, ob mehrere Liberty-Server dieselbe Installation nutzen.
- Interim Fix für DT503659 jetzt einspielen oder Fix Pack 26.0.0.11 oder neuer, sobald verfügbar; Verfügbarkeit auf IBM Fix Central bestätigen.
- Lokalen Zugriff auf gemeinsam genutzte Installationen einschränken.
- Protokolle der Liberty-Server auf ungewöhnliche Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin CVE-2026-105443 www.ibm.com
- Strix CVE-2026-105443 product listing and status www.strix.ai
- CVE record CVE-2026-105443 cve.threatint.com
- Third-party copy of IBM advisory with fix details cve.imfht.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:28.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.