FasterXML Jackson: Schwachstelle ermöglicht Denial of Service

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 12.11.2025 ein Update zu einer am 25.06.2025 bekanntgewordenen Sicherheitslücke für FasterXML Jackson herausgegeben. Betroffen von der Sicherheitslücke sind die Betriebssysteme Linux, UNIX und Windows sowie die Produkte Amazon Linux 2, Red Hat Enterprise Linux, Oracle Linux, IBM Business Automation Workflow, Red Hat OpenShift, RESF Rocky Linux, FasterXML Jackson, Red Hat Single Sign On und Splunk Splunk Enterprise.

Die neuesten Hersteller-Empfehlungen bezüglich Updates, Workarounds und Sicherheitspatches für diese Sicherheitslücke finden Sie hier: Splunk Security Advisory SVD-2025-1103 (Stand: 12.11.2025). Weitere nützliche Links werden weiter unten in diesem Artikel aufgeführt.

Sicherheitshinweis für FasterXML Jackson - Risiko: mittel

Risikostufe: 3 (mittel)
CVSS Base Score: 7,5
CVSS Temporal Score: 6,5
Remoteangriff: Ja

Zur Einschätzung der Verwundbarkeit von Computersystemen wird das Common Vulnerability Scoring System (CVSS) angewandt. Der CVSS-Standard ermöglicht es, potenzielle oder tatsächliche Sicherheitslücken auf Basis verschiedener Metriken miteinander zu vergleichen, um eine darauf aufbauende Prioritätenliste zur Einleitung von Gegenmaßnahmen zu erstellen. Für die Schweregrade einer Schwachstelle werden die Attribute "keine", "niedrig", "mittel", "hoch" und "kritisch" verwendet. Der Base Score bewertet die Voraussetzungen für einen Angriff (u.a. Authentifizierung, Komplexität, Privilegien, Userinteraktion) sowie dessen Konsequenzen. Beim Temporal Score fließen über die Zeit veränderbare Rahmenbedingungen in die Bewertung ein. Die Gefährdung der aktuellen Schwachstelle wird nach dem CVSS mit einem Base Score von 7,5 als "mittel" eingeschätzt.

FasterXML Jackson Bug: Schwachstelle ermöglicht Denial of Service

Jackson ist eine quelloffene Bibliothek zur JSON-Verarbeitung in Java.

Ein entfernter, anonymer Angreifer kann eine Schwachstelle in FasterXML Jackson ausnutzen, um einen Denial of Service Angriff durchzuführen.

Die Verwundbarkeit wird mit der eindeutigen CVE-Identifikationsnummer (Common Vulnerabilities and Exposures) CVE-2025-52999 gehandelt.

Von der Sicherheitslücke betroffene Systeme im Überblick

Betriebssysteme
Linux, UNIX, Windows

Produkte
Amazon Linux 2 (cpe:/o:amazon:linux_2)
Red Hat Enterprise Linux (cpe:/o:redhat:enterprise_linux)
Oracle Linux (cpe:/o:oracle:linux)
IBM Business Automation Workflow (cpe:/a:ibm:business_automation_workflow)
Red Hat OpenShift Developer Tools and Services 4.14 (cpe:/a:redhat:openshift)
RESF Rocky Linux (cpe:/o:resf:rocky_linux)
FasterXML Jackson <2.15.0 (cpe:/a:fasterxml:jackson)
FasterXML Jackson 2.15.0 (cpe:/a:fasterxml:jackson)
Red Hat OpenShift Developer Tools and Services 4.16 (cpe:/a:redhat:openshift)
Red Hat OpenShift Developer Tools and Services 4.17 (cpe:/a:redhat:openshift)
Red Hat OpenShift Developer Tools and Services 4.18 (cpe:/a:redhat:openshift)
Red Hat OpenShift Developer Tools and Services 4.15 (cpe:/a:redhat:openshift)
Red Hat OpenShift Developer Tools and Services 4.13 (cpe:/a:redhat:openshift)
Red Hat OpenShift Developer Tools and Services 4.12 (cpe:/a:redhat:openshift)
Red Hat Single Sign On <7.6.12 (cpe:/a:redhat:single_sign_on)
Red Hat Single Sign On 7.6.12 (cpe:/a:redhat:single_sign_on)
Splunk Splunk Enterprise <10.0.1 (cpe:/a:splunk:splunk)
Splunk Splunk Enterprise 10.0.1 (cpe:/a:splunk:splunk)
Splunk Splunk Enterprise <9.4.4 (cpe:/a:splunk:splunk)
Splunk Splunk Enterprise 9.4.4 (cpe:/a:splunk:splunk)
Splunk Splunk Enterprise <9.3.6 (cpe:/a:splunk:splunk)
Splunk Splunk Enterprise 9.3.6 (cpe:/a:splunk:splunk)
Splunk Splunk Enterprise <9.2.8 (cpe:/a:splunk:splunk)
Splunk Splunk Enterprise 9.2.8 (cpe:/a:splunk:splunk)
Splunk Splunk Enterprise <9.4.5 (cpe:/a:splunk:splunk)
Splunk Splunk Enterprise 9.4.5 (cpe:/a:splunk:splunk)
Splunk Splunk Enterprise <9.3.7 (cpe:/a:splunk:splunk)
Splunk Splunk Enterprise 9.3.7 (cpe:/a:splunk:splunk)
Splunk Splunk Enterprise <9.2.9 (cpe:/a:splunk:splunk)
Splunk Splunk Enterprise 9.2.9 (cpe:/a:splunk:splunk)

Allgemeine Maßnahmen zum Umgang mit IT-Sicherheitslücken

1. Anwender der betroffenen Anwendungen sollten diese auf dem aktuellsten Stand halten. Hersteller sind bei Bekanntwerden von Sicherheitslücken dazu angehalten, diese schnellstmöglich durch Entwicklung eines Patches oder eines Workarounds zu beheben. Sollten Sicherheitspatches verfügbar sein, installieren Sie diese zeitnah.
2. Konsultieren Sie zu Informationszwecken die im nächsten Abschnitt aufgeführten Quellen. Häufig enthalten diese weiterführende Informationen zur aktuellsten Version der betreffenden Software sowie zur Verfügbarkeit von Sicherheitspatches oder Hinweise zu Workarounds.
3. Wenden Sie sich bei weiteren Fragen oder Unsicherheiten an Ihren zuständigen Administrator. IT-Sicherheitsverantwortliche sollten regelmäßig prüfen, wann das herstellende Unternehmen ein neues Sicherheitsupdate zur Verfügung stellt.

Quellen zu Updates, Patches und Workarounds

An dieser Stelle finden Sie weiterführende Links mit Informationen über Bug-Reports, Security-Fixes und Workarounds.

Splunk Security Advisory SVD-2025-1103 vom 2025-11-12 (12.11.2025)
Weitere Informationen finden Sie unter: https://advisory.splunk.com//advisories/SVD-2025-1103

IBM Security Bulletin 7250262 vom 2025-11-06 (05.11.2025)
Weitere Informationen finden Sie unter: https://www.ibm.com/support/pages/node/7250262

Rocky Linux Security Advisory RLSA-2025:12280 vom 2025-10-18 (19.10.2025)
Weitere Informationen finden Sie unter: https://errata.build.resf.org/RLSA-2025:12280

Splunk Security Advisory SVD-2025-1007 vom 2025-10-01 (01.10.2025)
Weitere Informationen finden Sie unter: https://advisory.splunk.com//advisories/SVD-2025-1007

Red Hat Security Advisory RHSA-2025:17189 vom 2025-10-01 (01.10.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:17189

Red Hat Security Advisory RHSA-2025:15717 vom 2025-09-11 (11.09.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:15717

Rocky Linux Security Advisory RLSA-2025:14126 vom 2025-09-08 (08.09.2025)
Weitere Informationen finden Sie unter: https://errata.build.resf.org/RLSA-2025:14126

Oracle Linux Security Advisory ELSA-2025-14546 vom 2025-08-26 (26.08.2025)
Weitere Informationen finden Sie unter: https://oss.oracle.com/pipermail/el-errata/2025-August/018456.html

Oracle Linux Security Advisory ELSA-2025-14126 vom 2025-08-25 (24.08.2025)
Weitere Informationen finden Sie unter: https://linux.oracle.com/errata/ELSA-2025-14126.html

Red Hat Security Advisory RHSA-2025:14116 vom 2025-08-20 (19.08.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:14116

Red Hat Security Advisory RHSA-2025:14117 vom 2025-08-20 (19.08.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:14117

Red Hat Security Advisory RHSA-2025:14127 vom 2025-08-20 (19.08.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:14127

Red Hat Security Advisory RHSA-2025:14126 vom 2025-08-20 (19.08.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:14126

Red Hat Security Advisory RHSA-2025:14118 vom 2025-08-20 (19.08.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:14118

Oracle Linux Security Advisory ELSA-2025-12280 vom 2025-07-31 (31.07.2025)
Weitere Informationen finden Sie unter: https://linux.oracle.com/errata/ELSA-2025-12280.html

Amazon Linux Security Advisory ALAS2-2025-2934 vom 2025-07-30 (30.07.2025)
Weitere Informationen finden Sie unter: https://alas.aws.amazon.com/AL2/ALAS2-2025-2934.html

Red Hat Security Advisory RHSA-2025:12283 vom 2025-07-30 (29.07.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:12283

Red Hat Security Advisory RHSA-2025:12282 vom 2025-07-30 (29.07.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:12282

Red Hat Security Advisory RHSA-2025:12281 vom 2025-07-30 (29.07.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:12281

Red Hat Security Advisory RHSA-2025:12280 vom 2025-07-30 (29.07.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:12280

Red Hat Security Advisory RHSA-2025:11473 vom 2025-07-21 (21.07.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:11473

Red Hat Security Advisory RHSA-2025:11474 vom 2025-07-21 (21.07.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:11474

Red Hat Security Advisory RHSA-2025:10097 vom 2025-07-01 (01.07.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:10097

Red Hat Security Advisory RHSA-2025:10120 vom 2025-07-02 (01.07.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:10120

Red Hat Security Advisory RHSA-2025:10104 vom 2025-07-01 (01.07.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:10104

Red Hat Security Advisory RHSA-2025:10119 vom 2025-07-01 (01.07.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:10119

Red Hat Security Advisory RHSA-2025:10118 vom 2025-07-01 (01.07.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:10118

Red Hat Security Advisory RHSA-2025:10092 vom 2025-07-01 (01.07.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:10092

Red Hat Security Advisory RHSA-2025:10098 vom 2025-07-01 (01.07.2025)
Weitere Informationen finden Sie unter: https://access.redhat.com/errata/RHSA-2025:10098

Red Hat Bugtracker vom 2025-06-25 (25.06.2025)
Weitere Informationen finden Sie unter: https://bugzilla.redhat.com/show_bug.cgi?id=2374804

FasterXML GitHub Security Advisory vom 2025-06-25 (25.06.2025)
Weitere Informationen finden Sie unter: https://github.com/FasterXML/jackson-core/security/advisories/GHSA-h46c-h94j-95f3

Versionshistorie dieses Sicherheitshinweises

Dies ist die 15. Version des vorliegenden IT-Sicherheitshinweises für FasterXML Jackson. Sollten weitere Updates bekanntgegeben werden, wird dieser Text aktualisiert. Die vorgenommenen Änderungen können Sie anhand der folgenden Versionshistorie nachvollziehen.

25.06.2025 - Initiale Fassung
01.07.2025 - Neue Updates von Red Hat aufgenommen
21.07.2025 - Neue Updates von Red Hat aufgenommen
29.07.2025 - Neue Updates von Red Hat aufgenommen
30.07.2025 - Neue Updates von Amazon aufgenommen
31.07.2025 - Neue Updates von Oracle Linux aufgenommen
19.08.2025 - Neue Updates von Red Hat aufgenommen
24.08.2025 - Neue Updates von Oracle Linux aufgenommen
26.08.2025 - Neue Updates von Oracle Linux aufgenommen
08.09.2025 - Neue Updates von Rocky Enterprise Software Foundation aufgenommen
11.09.2025 - Neue Updates von Red Hat aufgenommen
01.10.2025 - Neue Updates von Red Hat und Splunk-SVD aufgenommen
19.10.2025 - Neue Updates von Rocky Enterprise Software Foundation aufgenommen
05.11.2025 - Neue Updates von IBM aufgenommen
12.11.2025 - Neue Updates von Splunk-SVD aufgenommen

+++ Redaktioneller Hinweis: Dieser Text wurde auf Basis aktueller BSI-Daten generiert und wird je nach Warnlage datengetrieben aktualisiert. Feedback und Anmerkungen nehmen wir unter hinweis@news.de entgegen. +++

kns/roj/news.de