„`html
Zusammenfassung
CVE-2026-15555 beschreibt eine kritische Schwachstelle in JBoss Marshalling, die über den Infinispan Session Replication Mechanismus ausgenutzt werden kann. Die Vulnerability ermöglicht Remote Code Execution (RCE) durch unsichere Deserialisierung von Session-Daten ohne Klassen-Filterung. Der CVSS-Score von 8.8 unterstreicht die hohe Kritikalität.
Betroffene Systeme
Die Schwachstelle betrifft verschiedene Systeme, die JBoss Marshalling und Infinispan Session Replication verwenden, insbesondere:
- JBoss Enterprise Application Server (EAP)
- Red Hat Middleware-Produkte mit Infinispan-Integration
- Cluster-basierte Java-Anwendungen mit Infinispan Session Manager
Technische Details
Die Vulnerability liegt in der unsicheren Deserialisierung von replizierten Session-Daten. Der River Unmarshaller von JBoss Marshalling führt keine adäquate Klassen-Validierung durch. Ein Angreifer im angrenzenden Netzwerk kann manipulierte serialisierte Objekte in den Cluster einschleusen. Durch Gadget-Chain-Exploits wird Code auf jedem Cluster-Knoten ausgeführt.
Der Angriffsvektor ist als „Adjacent Network“ klassifiziert, was bedeutet, der Angreifer benötigt Zugriff auf das lokale Netzwerk oder Cluster-Netzwerk.
Empfohlene Massnahmen
- Sofortige Netzwerk-Segmentierung: Cluster-Kommunikation isolieren und nur authorisiertem Traffic erlauben
- Monitoring: Verdächtige Deserialisierungsprozesse und Cluster-Replikation überwachen
- Anwendungen prüfen: Inventur aller JBoss/Infinispan-Instanzen durchführen
- Patch-Management: Regelmäßig auf Security-Updates überprüfen (aktuell kein Patch verfügbar)
- Input-Validierung: Zusätzliche Sicherheitsmechanismen auf Applikationsebene implementieren
Bewertung
Schweregrad: High (CVSS 8.8)
Diese Vulnerability stellt eine erhebliche Bedrohung dar. Die fehlende Klassen-Filterung ermöglicht vollständige Systemkompromittierung. Da kein Patch vorhanden ist, sind defensive Massnahmen wie Netzwerk-Isolation essentiell.
„`