Kritische RCE-Lücken in GlassFish entdeckt

CVSS-Scores 9.6 und 9.1 Hacker können Remote Code in GlassFish-Projekte einschleusen

Anbieter zum Thema

Gefährliche Schwachstellen in GlassFish ermöglichen Remtoe-Code-Ausführung über Template-Rendering und die Admin-Konsole. Betroffen sind Versionen bis 8.0.0. Angreifer können so Daten auslesen oder die Serverkontrolle übernehmen.

Indem sie Schwachstellen im Open-Source-Server GlassFish ausnutzen, könnten Cyberkriminelle Remote Code ausführen und möglicherweise den gesamten Server übernehmen.

(Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)

Zwei kritische RCE-Schwachstellen gefährden Nutzer von GlassFish. Der Open-Source-Application-Server für Java (Jakarta EE), wird vor allem verwendet, um Java-basierte Web­an­wen­dungen und Unternehmensanwendungen auszuführen. GlassFish ist besonders beliebt bei Entwicklungs- und Testing-Teams und gehört mittlerweile der Eclipse Foundation an.

Angriffe über den Rendering-Mechanismus

Die erste Sicherheitslücke EUVD-2026-30941 / CVE-2026-2587 (CVSS-Score 9.6,EPSS-Score^* 0.00) betrifft den serverseitigen Template-Rendering-Mechanismus des GlassFish-Gadget-Handlers. Dieser ist für die Verarbeitung interner Daten und Objekte zuständig, zum Beispiel bei der Serialisierung oder bei Remote-Aufrufen. Bei der Verarbeitung von .xml-Dateien werden vom Benuzer bereitgestellte Werte in einem Kontext ausgewertet, in dem sogenannte „Aus­drücke“ der Expression Language ohne angemessene Bereinigung oder Maskierung verarbeitet werden. Indem Angreifer Ausdrücke wie „#{7*7}“ einschleusen, liefert der Server das Ergebnis „49“ zurück. nachweisen, dass ihre Eingaben serverseitig als Code interpretiert und ausgeführt werden. Dadurch können sie gezielt weitere, komplexere Ausdrücke einschleusen, um beliebige Befehle auszuführen, auf sensible Daten zuzugreifen oder die vollständige Kontrolle über den Server zu übernehmen.

Betroffen davon sind der Eclipse Foundation nach die Versionen 8.0.0 sowie alle Versionen vor 7.1.0. Die aktuelle GlassFish-Version ist 8.0.2.

Angriffe über Admin-Konsole

Auch die Administratorenkonsole von GlassFish enthält eine RCE-Schwachstelle. Ein au­then­ti­fi­zier­ter Nutzer mit Zugriff auf das Panel kann speziell präparierte Anfragen senden, die die Ausführung beliebiger Betriebssystembefehle mit den Berechtigungen des Anwendungs­dienst­benutzers ermöglichen. Bei der Schwachstelle handelt es sich um EUVD-2026-30939 / CVE-2026-2586 (CVSS-Score 9.1, EPSS-Score 0.00). Auch sie betrifft dem Hinweis von Eclipse zufolge die Version 8.0.0 sowie 7.1.0.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50850244)