Apache Jackrabbit WebDAV-Server: Sitzungswiederverwendung über Benutzer hinweg
Zusammenfassung
Apache Jackrabbit, ein Java-Content-Repository, enthält im WebDAV-Server eine Schwachstelle: Eine zwischengespeicherte, authentifizierte Sitzung wird einer Anfrage zugeordnet, sobald ein Lock-Token, eine TransactionId, eine SubscriptionId oder ein If-Header-Wert übereinstimmt, ohne dass Zugangsdaten geprüft werden. Ein nicht authentifizierter Angreifer, der einen passenden Token ableiten kann, kann innerhalb der Sitzung eines anderen Benutzers handeln, was die Vertraulichkeit und Integrität erheblich beeinträchtigen kann. Anwendungen, die Jackrabbit einbetten, können ebenfalls betroffen sein.
Betroffen
- Apache Jackrabbit 2.23.0 bis 2.23.5
- Apache Jackrabbit 2.22.0 bis 2.22.4
- Apache Jackrabbit 2.20.0 bis 2.20.17
- Betroffene Komponente: WebDAV-Server (jackrabbit-jcr-server; Artefakt im eigenen Abhängigkeitsbaum prüfen)
- Standardkonfiguration: laut CNA-Eintrag nicht betroffen
Behoben in
- Apache Jackrabbit 2.23.6 (von Apache laut Sekundärquellen als Beta gekennzeichnet)
- Apache Jackrabbit 2.22.5
- Apache Jackrabbit 2.20.18
Umgehung
Unbekannt. In den geprüften Quellen wurde kein Workaround des Herstellers gefunden. Übergangsmassnahme (nicht vom Hersteller): Zugriff auf Jackrabbit-WebDAV-Endpunkte bis zum Patch über VPN, IP-Allowlists oder Regeln im Reverse Proxy einschränken.
Ausnutzung
- Apache meldet keine bekannte aktive Ausnutzung.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
- Aufnahme im CISA-KEV-Katalog: nicht verifiziert.
Unsere Empfehlung
- Alle Jackrabbit-Instanzen erfassen, auch jene, die in Anwendungen wie CMS-Plattformen eingebettet sind, und deren Versionen notieren.
- Auf 2.23.6, 2.22.5 oder 2.20.18 aktualisieren, je nach eingesetzter Linie; bei der Linie 2.23 ein als Beta gekennzeichnetes 2.23.6 einplanen.
- Bis zum Patch WebDAV-Endpunkte auf vertrauenswürdige Netze beschränken und Logs auf unerwartete Sitzungswiederverwendung prüfen.
- Aus dem Internet erreichbare Instanzen als kritisch priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list advisory thread lists.apache.org
- oss-security post CVE-2026-92414 www.openwall.com
- LinuxSecurity: Apache Jackrabbit WebDAV session hijacking linuxsecurity.com
- OSV: UBUNTU-CVE-2026-92414 osv.dev
- CVE-2026-92414 at ThreatInt cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:03.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.