IBM WebSphere Application Server Liberty: Mangelhafte Zugriffskontrolle in gRPC-Methoden
Zusammenfassung
IBM WebSphere Application Server Liberty in den Versionen 20.0.0.12 bis 26.0.0.10 enthält eine mangelhafte Zugriffskontrolle in gRPC-Dienstmethoden, wenn das Feature grpc-1.0 aktiviert ist. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann die für diese Methoden konfigurierten Zugriffskontrollen ohne Benutzerinteraktion umgehen. IBM stuft die Schwachstelle mit CVSS 9.1 (Kritisch) ein, mit hoher Auswirkung auf Vertraulichkeit und Integrität. Zum Zeitpunkt der Veröffentlichung sind laut Herstellerbulletin keine Ausnutzungen bekannt.
Betroffen
- IBM WebSphere Application Server Liberty 20.0.0.12 bis 26.0.0.10 mit aktiviertem grpc-1.0
- Systeme ohne grpc-1.0 werden im Herstellerbulletin nicht als betroffen aufgeführt
Behoben in
- Interim Fix für APAR DT502929 (nach dem Minimal-Fix-Pack-Level, das er voraussetzt)
- Liberty Fix Pack 26.0.0.11 oder neuer (geplante Verfügbarkeit 4. Quartal 2026)
Umgehung
- Von IBM nicht dokumentiert. Das Herstellerbulletin nennt keine Workaround-Massnahme ausser dem Interim Fix oder dem Fix Pack.
Ausnutzung
- IBM- und CISA-SSVC-Daten: keine bekannte Ausnutzung (Exploitation: none, Automatable: no, Technical Impact: total).
- Zum Zeitpunkt der Recherche sind keine öffentlich bestätigten Proof-of-Concept-Codes bekannt.
Unsere Empfehlung
- Prüfen Sie, ob grpc-1.0 im Element featureManager der Datei server.xml aktiviert ist.
- Falls grpc-1.0 aktiviert ist, installieren Sie den Interim Fix für DT502929 oder aktualisieren Sie auf Fix Pack 26.0.0.11 oder neuer, sobald verfügbar.
- Schränken Sie bis zur Behebung den Netzwerkzugriff auf die gRPC-Endpunkte von Liberty über Firewall oder Reverse Proxy ein.
- Falls grpc-1.0 nicht benötigt wird, entfernen Sie das Feature und testen Sie die Änderung vorher.
- Prüfen Sie auch die verwandten Schwachstellen CVE-2026-95695 und CVE-2026-95696 im selben IBM-Bulletin.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin: Liberty is affected by multiple vulnerabilities (CVE-2026-93895, CVE-2026-95695, CVE-2026-95696) www.ibm.com
- IBM recommended updates for WebSphere Application Server www.ibm.com
- IBM fix list for WebSphere Application Server Liberty www.ibm.com
- Open Liberty documentation: grpc-1.0 feature www.openliberty.io
- All-About-Security: IBM WebSphere Liberty, vier Sicherheitslücken geschlossen www.all-about-security.de
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:38.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.