IBM WebSphere Application Server Liberty: Fehlerhafte Autorisierung
Zusammenfassung
IBM WebSphere Application Server Liberty in den Versionen 20.0.0.12 bis 26.0.0.10 enthält eine fehlerhafte Autorisierung (CWE-863). Ein entfernter Angreifer kann dadurch Sicherheitseinschränkungen umgehen. IBM gibt an, dass die Schwachstelle bei aktiviertem Feature grpc-1.0 zutrifft, und die Bulletin nennt keine Workaround-Massnahme.
Betroffen
- IBM WebSphere Application Server Liberty 20.0.0.12 bis 26.0.0.10
- Nur relevant bei aktiviertem Feature grpc-1.0 (gemäss IBM)
Behoben in
- Interim Fix, der APAR DT502929 behebt (nach Aktualisierung auf das mindestens erforderliche Fix-Pack-Level des Interim Fix)
- Liberty Fix Pack 26.0.0.11 oder neuer (geplante Verfügbarkeit 4Q2026)
Umgehung
Keine (gemäss IBM-Sicherheitsbulletin)
Ausnutzung
- CISA-SSVC-Bewertung: keine Ausnutzung, nicht automatisierbar, totale technische Auswirkung
- Zum Zeitpunkt der Recherche sind keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept bekannt
Unsere Empfehlung
- Prüfen, ob Liberty direkt oder in einem anderen IBM-Produkt (zum Beispiel OpenPages oder License Metric Tool) läuft und ob grpc-1.0 aktiviert ist
- Den Interim Fix für DT502929 oder Liberty Fix Pack 26.0.0.11 oder neuer so rasch wie möglich einspielen, mit Priorität auf aus dem Internet erreichbare Server
- Bis zur Behebung den Netzwerkzugriff auf betroffene Server einschränken und die Zugriffe auf gRPC-Dienste überwachen
- Den definitiven CVSS-Wert in der NVD prüfen, da sich die Quellen unterscheiden (9.1 in den NVD-Daten, 7.4 im IBM-Bulletin)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- IBM Security Bulletin: IBM WebSphere Application Server Liberty is affected by multiple vulnerabilities (CVE-2026-93895, CVE-2026-95695, CVE-2026-95696) www.ibm.com
- Strix AI: CVE-2026-95695 www.strix.ai
- OffSeq Radar: CVE-2026-95695 radar.offseq.com
- SecurityOnline: Critical IBM WebSphere Liberty vulnerabilities patched securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:37.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.