„`html
Zusammenfassung
CVE-2026-15560 ist eine kritische Deserialisierungsschwachstelle in OpenJDK-ORB, die bei Verwendung des Security Managers (-secmgr) in Enterprise Application Server (EAS) Umgebungen exploitiert werden kann. Die Vulnerability ermöglicht unauthentifizierten Angreifern die Remote Code Execution (RCE) durch das Laden beliebiger Klassen von externen URLs während des Object Unmarshalling-Prozesses auf Port 3528.
Betroffene Systeme
Die Schwachstelle betrifft verschiedene Java-basierte Enterprise-Anwendungsserver und Systeme, die OpenJDK-ORB mit aktiviertem Security Manager einsetzen. Besonders gefährdet sind Produktionsumgebungen mit EJB-Deployments, auf denen Security Manager für Sandbox-Durchsetzung konfiguriert ist.
Technische Details
Der Exploit nutzt eine Validierungslücke im JDKBridge-Komponenten von OpenJDK-ORB aus. Beim Unmarshalling von CDR (Common Data Representation) Objekten werden attacker-kontrollierte Codebase URLs akzeptiert und verarbeitet. Die kritische Schwachstelle liegt darin, dass diese Verarbeitung vor den EJB-Security-Interceptoren stattfindet, wodurch der Security Manager umgangen wird.
Ein Angreifer kann gezielt manipulierte CORBA-Requests mit malicious Codebase-Parametern an Port 3528 senden. Das System lädt und instanziiert anschließend beliebige Klassen aus dem remote Server im privilegierten JVM-Kontext, noch bevor Authentifizierungs- oder Autorisierungschecks greifen.
Empfohlene Massnahmen
- Netzwerk-Segmentierung: Port 3528 beschränken auf vertrauenswürdige Quellen
- Security Manager-Regeln verschärfen für CORBA-Unmarshalling
- JAR-Dateien aus nicht verifizierten Quellen blockieren
- Regelmäßige Sicherheits-Audits durchführen
- OpenJDK-Updates zeitnah einspielen, sobald Patches verfügbar sind
Bewertung
CVSS Score: 8.1 (High)
Die hohe Kritikalität resultiert aus Netzwerk-Erreichbarkeit, fehlender Authentifizierung und direkter RCE-Möglichkeit. Der fehlende Patch erhöht die Risikostufe erheblich.
„`