Apache Johnzon: Unsichere Reflection in ClassConverter über unvertrauenswürdiges JSON
Zusammenfassung
Apache Johnzon, eine Java-Bibliothek für JSON-Verarbeitung und JSON-B-Binding, enthält eine Schwachstelle durch unsichere Reflection im ClassConverter. Ein Angreifer kann in unvertrauenswürdigem JSON einen Klassennamen angeben, woraufhin die Bibliothek diese Klasse lädt und statisch initialisiert. Eine Ausnutzung hängt davon ab, dass die Anwendung unvertrauenswürdiges JSON an Java-Typen bindet, die diese Bibliothek verwenden, und dass eine geeignete Klasse im Classpath verfügbar ist.
Betroffen
- Apache Johnzon von 1.0.0 bis vor 1.3.1 (javax-Namespace)
- Apache Johnzon von 2.0.0 bis vor 2.2.0 (jakarta-Namespace)
- Oft transitiv eingebunden über org.apache.johnzon:johnzon-mapper oder johnzon-jsonb
Behoben in
- Auf 1.3.1 aktualisieren (javax-Namespace)
- Auf 2.2.0 aktualisieren (jakarta-Namespace)
Umgehung
Unbekannt.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total
- Keine bekannte Ausnutzung in freier Wildbahn; zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog
- Kein glaubwürdiger öffentlicher Proof of Concept gefunden; die Quellen widersprechen sich in diesem Punkt
Unsere Empfehlung
- Java-Anwendungen inventarisieren und die Abhängigkeitsbäume, einschliesslich transitiver Abhängigkeiten, auf johnzon-mapper und johnzon-jsonb prüfen
- So rasch wie möglich auf 1.3.1 (javax) oder 2.2.0 (jakarta) aktualisieren
- Internetexponierte Dienste priorisieren, die JSON ohne Authentifizierung entgegennehmen
- Falls ein Update nicht sofort möglich ist, einschränken, wer JSON an betroffene Endpunkte senden darf
- Apache-Mailingliste, NVD und Herstellerhinweise auf die endgültige Einstufung und einen allfälligen Proof of Concept überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record commit 91e7b0d (Apache Johnzon) github.com
- CVE record commit dd3d006 (Apache Johnzon) github.com
- Apache mailing list thread lists.apache.org
- Talend component-runtime PR 1311 (downstream upgrade) github.com
- VulDB entry CVE-2026-71253 vuldb.com
- Mend/Vulners entry CVE-2026-71253 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:27.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.