Red Hat JBoss EAP: Nicht authentifiziertes Laden von Klassen über IIOP in openjdk-orb

Zusammenfassung

Die Komponente openjdk-orb von Red Hat JBoss Enterprise Application Platform (EAP) 7 und 8 akzeptiert vom Angreifer vorgegebene CDR-Codebase-URLs während der Objekt-Deserialisierung auf dem TCP-Port 3528 (IIOP). Dies gilt nur, wenn EAP mit dem Java Security Manager (-secmgr) läuft und der IIOP-Dienst aus dem Netzwerk des Angreifers erreichbar ist. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann so vor der Auswertung der EJB-Sicherheitsinterceptoren beliebige Klassen von einer entfernten URL in der JVM des Servers laden und instanziieren; Red Hat stuft dies als Important ein und nennt Remote Code Execution als mögliche Folge. Red Hat beschreibt dieses Problem als unvollständige Behebung von CVE-2026-15560.

Betroffen

• Red Hat JBoss Enterprise Application Platform 7 (Standard: betroffen)
• Red Hat JBoss Enterprise Application Platform 8 (Standard: betroffen)
• Nur Installationen, die mit -secmgr laufen und deren IIOP-Dienst auf dem TCP-Port 3528 erreichbar ist
• Genaue betroffene Builds: Unbekannt.

Behoben in

• Unbekannt. Für CVE-2026-84725 ist keine behobene Version und kein Erratum bestätigt.
• Für CVE-2026-15560 existieren verwandte Errata (z. B. RHSA-2026:70277 für EAP 8.1), ihre Abdeckung von CVE-2026-84725 ist jedoch nicht bestätigt.

Umgehung

• Zugriff auf den TCP-Port 3528 mit Firewall-Regeln auf vertrauenswürdige Netzwerke beschränken (z. B. firewall-cmd --permanent --remove-port=3528/tcp, danach firewall-cmd --reload).
• Alternativ das IIOP-Subsystem (iiop-openjdk) deaktivieren, falls CORBA nicht benötigt wird; nach dem Entfernen ist ein vollständiger Neustart des Servers erforderlich.
• Hinweis: Das Blockieren von Port 3528 oder das Deaktivieren von IIOP verhindert, dass legitime entfernte IIOP-/CORBA-Clients sich verbinden.

Ausnutzung

• Gemäss OffSeq (Stand 28. Okt 2026) ist nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
• Laut einer Sekundärquelle ist sie nicht im CISA-KEV-Katalog gelistet; dies ist auf cisa.gov nicht bestätigt.
• In der Recherche wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Prüfen, ob EAP-Instanzen mit -secmgr laufen und ob Port 3528 aus nicht vertrauenswürdigen Netzwerken erreichbar ist.
• TCP-Port 3528 aus nicht vertrauenswürdigen Netzwerken und dem Internet blockieren, nachdem geprüft wurde, dass keine benötigten Dienste von IIOP abhängen.
• Die aktuellen openjdk-orb-Errata für die eingesetzte EAP-Linie einspielen und auf der Red Hat-CVE-Seite nach einer Behebung speziell für CVE-2026-84725 suchen.
• Die Red-Hat-Advisories und die EAP-Logs auf unerwartetes Laden entfernter Klassen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Red Hat CVE page CVE-2026-84725 access.redhat.com
• Red Hat Bugzilla 2527228 (access restricted) bugzilla.redhat.com
• Red Hat CVE page CVE-2026-15560 access.redhat.com
• RHSA-2026:70277 (EAP 8.1, CVE-2026-15560) access.redhat.com
• Red Hat Bugzilla 2483131 (EAP 7.4 errata) bugzilla.redhat.com
• NVD record via Vulners vulners.com
• OffSeq Radar entry radar.offseq.com
• VulDB entry 428117 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:51.