Vaadin Framework 8: Session-Lock-Leck ermöglicht Denial of Service

Zusammenfassung

Vaadin Framework 8 gibt den Session-Lock nicht frei, wenn eine Anfrage einen nicht numerischen v-uiId-Parameter enthält. Jede spätere Anfrage an diese Session blockiert anschliessend, und wiederholte Anfragen erschöpfen den Thread-Pool des Servlet-Containers, wodurch die Anwendung ausfällt. Eine Authentifizierung ist nicht erforderlich; ein Session-Cookie, das jeder Client mit einer einzigen Anfrage erhält, genügt. Vaadin Framework 7 sowie Vaadin 10 und neuer sind nicht betroffen.

Betroffen

• com.vaadin:vaadin-server 8.16.0 bis 8.32.1
• com.vaadin:vaadin-server-mpr-jakarta 8.18.0 bis 8.32.1

Behoben in

• Aktualisierung auf Vaadin Framework 8.32.2 oder neuer (Vaadin Extended-Maintenance-Release)

Umgehung

• Anfragen abweisen, deren v-uiId-Parameter keine Ganzzahl ist, bevor Vaadin sie verarbeitet, indem VaadinServlet.service() überschrieben und HTTP 400 zurückgegeben wird.
• Bereits blockierte Locks werden nur durch einen Neustart der Anwendung gelöst.

Ausnutzung

• Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
• Öffentlicher Proof of Concept: keiner gefunden.
• CISA SSVC: Exploitation none, automatable yes, technical impact partial.
• Der Hersteller meldet, dass ein automatisierter Scanner, der den Parameter fuzzte, die Störung auf einem Produktionsknoten ausgelöst hat.

Unsere Empfehlung

• Alle Vaadin-8-Anwendungen inklusive transitiver Abhängigkeiten identifizieren, indem die Versionen von vaadin-server und vaadin-server-mpr-jakarta in Build-Dateien und ausgerollten WAR-Dateien geprüft werden.
• Betroffene Anwendungen auf 8.32.2 oder neuer aktualisieren.
• Falls ein Update derzeit nicht möglich ist, die Workaround-Massnahme des Herstellers nach Test in einer Nicht-Produktionsumgebung anwenden.
• Auf Thread-Pool-Erschöpfung und hängende Sessions überwachen und die Exposition betroffener Anwendungen nach Möglichkeit einschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Vaadin security advisory CVE-2026-110803 vaadin.com
• Vaadin Framework 8.32.2 release notes github.com
• VulDB entry vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:58.