Apache Commons BCEL: Klassennamen-Konflikt führt zu Cache-Poisoning von Klassen
Zusammenfassung
Apache Commons BCEL, eine Java-Bibliothek zum Lesen und Bearbeiten von Class-Dateien, speichert Klassen unter dem im Datei-Inhalt deklarierten Klassennamen statt unter dem angefragten Namen. Ein Angreifer, der einer Anwendung mit BCEL Class-Dateien unterschieben kann, kann bewirken, dass spätere Abfragen eine andere Klasse zurückgeben. Der offizielle CVE-Eintrag beschreibt dies als Cache-Poisoning von Klassen. Die Quellen widersprechen sich zum genauen Umfang dieser CVE-ID, weshalb die Beschreibung bei Apache oder NVD überprüft werden sollte.
Betroffen
- Apache Commons BCEL vor 6.13.0
- Apache Commons BCEL vor Commit 14890bf2b9014df25f9b4de86f29b5e917e5656b
Behoben in
- Apache Commons BCEL 6.13.0 (Fix-Commit 14890bf2b9014df25f9b4de86f29b5e917e5656b)
- Behobene Versionen der Distributionen: Unbekannt.
Umgehung
- Keine vom Hersteller veröffentlichte Umgehungslösung bekannt.
- Sicherstellen, dass die Anwendung keine nicht vertrauenswürdigen Class-Dateien über BCEL lädt.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
Unsere Empfehlung
- Java-Anwendungen und Abhängigkeitsbäume auf bcel prüfen (zum Beispiel mit mvn dependency:tree).
- Apache Commons BCEL auf 6.13.0 oder neuer aktualisieren und die verwendeten Paketversionen der Hersteller prüfen.
- Java-Anwendungen priorisieren, die extern bereitgestellte Class-Dateien oder Bytecode laden.
- Den Umfang von CVE-2026-94114 bei Apache oder NVD verifizieren, da sich die Quellen widersprechen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Commons BCEL commit 14890bf (patch) github.com
- OSV: CVE-2026-94114 osv.dev
- Apache Commons BCEL changes commons.apache.org
- Apache announcement (mail-archive) www.mail-archive.com
- oss-security posting 2026/10/07 www.openwall.com
- SUSE CVE tracker vulners.com
- Debian CVE tracker vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.