Apache Answer: Offenlegung sensibler Informationen in Logdatei
Zusammenfassung
Apache Answer bis einschliesslich 2.0.2 schreibt bei jeder authentifizierten Anfrage vollständige API-Schlüssel in die Anwendungslogs. Wer diese Logs lesen kann, kann aktive Bearer-Credentials auslesen und wiederverwenden. Der Angreifer benötigt Lesezugriff auf die Logs, und CISA SSVC stuft die Ausnutzung als keine ein.
Betroffen
- Apache Answer bis einschliesslich 2.0.2
- Unbekannt: ob Versionen vor 2.0.0 betroffen sind.
- Widerspruch: Vulners nennt den Bereich 2.0.0-RC2 bis 2.0.3. Gegen die Apache-Advisory prüfen.
Behoben in
- Apache Answer 2.0.3
Umgehung
- Vom Hersteller ist keine Workaround-Massnahme dokumentiert.
- Lesezugriff auf Anwendungslogs einschränken, einschliesslich Container-Logs, Log-Weiterleitung und Backups (Empfehlung der Analysten).
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn. Laut Strix nicht im KEV-Katalog.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS etwa 0,003 (Vulners).
- Unbekannt: ob das Update bereits geloggte Schlüssel widerruft.
Unsere Empfehlung
- Apache Answer auf 2.0.3 oder neuer aktualisieren.
- Zugriff auf alle Logs einschränken, die Ausgaben von Answer enthalten können.
- Bestehende Logs nach API-Schlüsseln durchsuchen und gefundene Schlüssel rotieren.
- API-Schlüssel-Nutzung für den Zeitraum vor dem Update prüfen.
- Den betroffenen Bereich anhand der Apache-Advisory verifizieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache list thread (vendor advisory) lists.apache.org
- oss-security post CVE-2026-64943 www.openwall.com
- OpenCVE CVE-2026-64943 app.opencve.io
- Strix CVE-2026-64943 www.strix.ai
- OffSeq Radar CVE-2026-64943 radar.offseq.com
- Vulners MEND CVE-2026-64943 vulners.com
- Vulners CNNVD-2026-63203942 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:44.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.