„`html
Zusammenfassung
CVE-2026-9563 betrifft Eclipse Parsson vor Version 1.1.8 und beschreibt eine Denial-of-Service (DoS) Schwachstelle im JSON-Parser. Die Sicherheitslücke ermöglicht es Angreifern, durch das Verarbeiten von überdimensionierten JSON-Dokumenten eine exzessive CPU- und Speichernutzung zu verursachen. Der Schweregrad wird mit CVSS 7.5 als „High“ bewertet.
Betroffene Systeme
Betroffen sind Eclipse Parsson Maven Central Artifacts in Versionen vor 1.1.8. Dies umfasst alle Anwendungen, die Parsson zur JSON-Verarbeitung einsetzen und anfällige Versionen verwenden. Besonders kritisch sind Systeme, die unkontrollierte oder externe JSON-Eingaben verarbeiten.
Technische Details
Der JSON-Parser in betroffenen Versionen implementiert keine Standardbegrenzung für die Anzahl der verarbeiteten Zeichen pro JSON-Dokument. Angreifer können manipulierte JSON-Payloads mit großen Arrays, Objekten, Strings, Zahlen, Leerzeichen oder tief verschachtelten Strukturen einschleusen. Dies führt zu unkontrollierter Ressourcenverbrauch und letztlich zu einem DoS-Zustand.
Eclipse Parsson 1.1.8 führt eine konfigurierbare Parsing-Limit ein mit einem Standard-Limit von 15 Millionen Parser-verbrauchten Zeichen, das die Schwachstelle mitigiert.
Empfohlene Massnahmen
- Update durchführen: Aktualisieren Sie Eclipse Parsson auf Version 1.1.8 oder später.
- Input-Validierung: Implementieren Sie strikte Größenbeschränkungen für eingehende JSON-Dokumente.
- Ressourcenlimits: Setzen Sie Parser-Timeouts und Memory-Limits auf Systemebene.
- Monitoring: Ãœberwachen Sie anomale Speicher- und CPU-Auslastung bei JSON-Verarbeitung.
- Dependency-Management: Überprüfen Sie alle abhängigen Anwendungen und Bibliotheken.
Bewertung
CVSS Score: 7.5 (High)
Angriffsvektor: Network
Patch verfügbar: Nein
Die Schwachstelle erfordert schnelle Aufmerksamkeit, da kein Patch vorhanden ist, sondern ein Versionsupgrade erforderlich wird. Das Risiko ist erheblich für öffentlich erreichbare Systeme, die JSON verarbeiten.
„`