Apache APISIX: Ressourcenerschöpfung im Plugin batch-requests
Zusammenfassung
Das API-Gateway Apache APISIX in den Versionen 1.3.0 bis 3.18.0 enthält eine Schwachstelle bei der Ressourcenzuweisung im Plugin batch-requests. Ein nicht authentifizierter Angreifer kann den Arbeitsspeicher eines Gateway-Workers erschöpfen (Out-of-Memory), wenn das Plugin auf einer Route verwendet wird und der Batch-Endpunkt öffentlich erreichbar ist. Die Folge ist eine Denial-of-Service-Situation für den API-Verkehr; eine Codeausführung wird nicht beschrieben.
Betroffen
- Apache APISIX 1.3.0 bis 3.18.0
- In der Praxis gefährdet sind nur Installationen, in denen batch-requests verwendet wird und der Batch-Endpunkt öffentlich erreichbar ist
Behoben in
- Upgrade auf Apache APISIX 3.19.0 (veröffentlicht am 28.09.2026)
- Die Version 3.18.0 ist keine Korrektur
Umgehung
- Die öffentliche Route, die den Batch-Endpunkt bereitstellt, entfernen oder einschränken
- Falls keine Batch-Requests benötigt werden, das Plugin batch-requests deaktivieren und Apache APISIX neu starten; zuvor in einer Testumgebung prüfen
- Kein vom Hersteller bestätigter Workaround für diese CVE gefunden
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial
- Kein öffentlicher Proof of Concept gefunden
Unsere Empfehlung
- Alle APISIX-Instanzen erfassen, die laufende Version prüfen und feststellen, ob batch-requests aktiviert ist
- Instanzen der Versionen 1.3.0 bis 3.18.0 auf 3.19.0 aktualisieren; als Übergangsmassnahme öffentliche Batch-Routen einschränken oder entfernen
- Arbeitsspeicher und Neustarts von Gateways überwachen, die den Batch-Endpunkt bereitstellen
- Die Breaking Changes von 3.19.0 vor dem Upgrade prüfen, da Clients mit grossen Batches betroffen sein können
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache list thread CVE-2026-94250 lists.apache.org
- oss-security post CVE-2026-94250 www.openwall.com
- OSV record BIT-apisix-2026-94250 osv.dev
- Apache APISIX 3.19.0 release notes apisix.apache.org
- Apache APISIX batch-requests plugin documentation (3.19) apisix.apache.org
- OpenCVE CVE-2026-94250 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:37.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.