Sicherheitshinweis

Langenhagen, Juli 2025

Konica Minolta wurde auf eine kritische Sicherheitslücke aufmerksam gemacht, die bestimmte Anwendungen und Services betrifft. Ein Exploit ist öffentlich verfügbar, und für einen Angriff ist keine Authentifizierung notwendig, was die Gefahr zusätzlich erhöht.

Diese Sicherheitslücke in Apache Tomcat, ein Open-Source-Webserver, der auch in einigen unserer Softwarelösungen verwendet wird, ermöglicht es Angreifern, Schadcode einzuschleusen, Dateien zu manipulieren oder vertrauliche Informationen auszulesen. Die Lücke wird bereits aktiv von Cyberkriminellen ausgenutzt. IT-Verantwortlichen wird dringend empfohlen, die bereitgestellten Sicherheitsupdates sofort einzuspielen.

Wie funktioniert die Lücke?

Die Schwachstelle betrifft die Verarbeitung sogenannter „partieller PUT“-Anfragen. Aufgrund einer fehlerhaften Behandlung von Dateipfaden mit einem internen Punkt („file.Name“) kann ein Angreifer unter bestimmten Bedingungen Dateien manipulieren, Schadcode einschleusen oder sogar die vollständige Kontrolle über den Server erlangen.

Welche Bedingungen müssen erfüllt sein?

Ein Angriff ist nur möglich, wenn mehrere spezifische Konfigurationen gleichzeitig zutreffen:

• Schreibrechte für das Standard-Servlet: Diese Funktion ist standardmäßig deaktiviert, muss aber aktiviert sein.
• Partielle PUT-Anfragen sind erlaubt: Diese Funktion ist standardmäßig aktiviert.
• Sicherheitsrelevante Dateien werden in einem Unterverzeichnis eines öffentlichen Upload-Verzeichnisses gespeichert.
• Der Angreifer kennt die Namen der sensiblen Dateien, die hochgeladen werden.
• Die sensiblen Dateien werden ebenfalls per „Partial PUT“ hochgeladen.

Für eine vollständige Übernahme des Servers (Remote Code Execution) müssen zusätzlich folgende Bedingungen erfüllt sein:

• Tomcat verwendet dateibasierte Sitzungsverwaltung im Standardverzeichnis.
• Die Anwendung enthält eine unsichere Bibliothek, die für Angriffe durch fehlerhafte Datenverarbeitung (Deserialisierung) genutzt werden kann.

Wer ist betroffen?

Betroffen sind folgende Tomcat-Versionen:

• 9.0.0.M1 bis 9.0.98
• 10.1.0-M1 bis 10.1.34
• 11.0.0-M1 bis 11.0.2

Welche Konica Minolta Software Lösungen sind betroffen?

YSoft SafeQ 6: Alle Versionen vor Build 106

• Sicherheitslücke ist in der Standardkonfiguration nicht ausnutzbar!

Dispatcher Paragon / Suite: Alle Versionen vor Build 106

• Sicherheitslücke ist in der Standardkonfiguration nicht ausnutzbar!

Tungsten AutoStore: Alle Versionen vor 2025.2.1

• Sicherheitslücke ist in der Standardkonfiguration nicht ausnutzbar!

Was ist zu tun?

AutoStore:

• Update auf Version 2025.2.1
• Hotfix verfügbar für Version 8.4.0.3
• Update der eingesetzten Tomcat Version (nur für Version 8 freigegeben!)

YSoft SafeQ 6:

• Update auf Build 108

Dispatcher Paragon / Suite:

• Update auf Build 107

Gerne sind wir Ihnen bei der Aktualisierung Ihrer eingesetzten Software-Versionen behilflich. Kontaktieren Sie einfach Ihren technischen Ansprechpartner bei Konica Minolta.

Weitere Informationen zur Sicherheitslücke Tomcat werden wir auf unserer Website nach Verfügbarkeit bereitstellen.

Für Konica Minolta ist die Sicherheit Ihrer Geräte, Anwendungen und Services von größter Bedeutung!