„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-59861 betrifft Kiota, einen OpenAPI-basierten HTTP-Client-Code-Generator. Vor Version 1.32.0 war der Ruby-Generator anfällig für Code-Injection-Angriffe durch unzureichende Escapesequenzen. Angreifer konnten über manipulierte OpenAPI-Spezifikationen beliebige Ruby-Code in generierte Modellklassen einschleusen.
Betroffene Systeme
- Kiota Ruby-Generator < 1.32.0
- Alle Systeme, die den vulnerablen Generator zur Codegenerierung einsetzen
- Entwicklungsumgebungen mit automatisierter OpenAPI-Code-Generierung
Technische Details
Vulnerables Verhalten: Der Ruby-Generator in CodeMethodWriter.cs und SanitizeForQuotedLiteral() in Writers/StringExtensions.cs fügt OpenAPI-Standardwerte, Eigenschaftsnamen und schemabezogene Strings direkt in doppelte Anführungszeichen ein, ohne das Hash-Zeichen (#) zu escapen.
Angriffsmechanismus: Ruby interpretiert Sequenzen wie #{expr}, #$var und #@var innerhalb doppelter Anführungszeichen als Interpolationsmarker. Ein Angreifer kann diese Muster in der OpenAPI-Spezifikation platzieren, um während der Code-Generierung willkürliche Ruby-Expressions auszuführen.
Angriffsszenario: Eine manipulierte OpenAPI-Datei mit Payloads wie #{system("malicious_command")} in Feldnamen oder -beschreibungen führt zur Generierung von vulnerablem Code, der diese Befehle ausführt.
Empfohlene Massnahmen
- Sofortmassnahmen: Update auf Kiota Version 1.32.0 oder höher durchführen
- Quellvalidierung: OpenAPI-Spezifikationen nur aus vertrauenswürdigen Quellen verwenden
- Code-Review: Generierte Ruby-Code-Dateien vor dem Einsatz überprüfen
- Isolation: Code-Generierung in isolierten Umgebungen durchführen
Bewertung
CVSS-Score: 7.5 (High)
Die Vulnerabilität hat einen hohen Schweregrad aufgrund des breiten Angriffsvektors (Network) und der Möglichkeit, beliebigen Code in den Generierungsprozess einzuschleusen. Das Fehlen eines verfügbaren Patches erfordert sofortige Updates.
„`