„`html
CVE-2026-59867: SSRF und Dateiinklusionsschwachstelle in Kiota
Zusammenfassung
Kiota, ein auf OpenAPI basierender HTTP-Client-Code-Generator, weist vor Version 1.32.5 eine kritische Schwachstelle auf. Der Generator verarbeitet externe Ressourcen unsicher und ermöglicht es Angreifern, während des Build-Prozesses Server-Side Request Forgery (SSRF) sowie Remote und Local File Inclusion (RFI/LFI) Angriffe durchzuführen. Die Schwachstelle entsteht durch unkontrollierte Auflösung von OpenAPI $ref-Werten.
Betroffene Systeme
- Kiota vor Version 1.32.5
- Alle Implementierungen, die auf automatisch generierte Clients aus OpenAPI-Spezifikationen angewiesen sind
- Build-Pipelines mit untrusted OpenAPI-Definitionen
Technische Details
Die Schwachstelle liegt in der Verarbeitung von OpenAPI-Referenzen ($ref). Kiota löst externe Verweise automatisch auf, indem es:
- Remote HTTP(S)-URLs ohne Validierung abruft
- Lokale absolute Pfade auflöst
- Out-of-tree-Dateisystempfade verarbeitet
Ein Angreifer kann eine manipulierte OpenAPI-Spezifikation mit schädlichen $ref-Werten bereitstellen. Bei Ausführung von kiota generate werden externe Ressourcen inline in den generierten Client integriert. Dies ermöglicht SSRF-Attacken gegen interne Netzwerkressourcen, Dateioffenlegung sowie potenzielle Code-Injection.
Empfohlene Massnahmen
- Upgrade durchführen: Kiota auf Version 1.32.5 oder höher aktualisieren
- Whitelist nutzen: Die neue Option
--allowed-external-originsverwenden, um nur vertrauenswürdige Quellen zuzulassen - AllowedExternalOriginsStreamLoader aktivieren: Diese Komponente implementiert die Validierung externer Ursprünge
- OpenAPI-Spezifikationen validieren: Nur aus vertrauenswürdigen Quellen laden
- Build-Umgebungen isolieren: Code-Generierung in sandboxed Umgebungen durchführen
Bewertung
CVSS Score: 7.1 (High)
Angriffsvektor: Network
Status: Patch verfügbar (Version 1.32.5+)
Die Schwachstelle birgt erhebliche Risiken für Supply-Chain-Sicherheit und Build-System-Integrität. Patches sollten zeitnah eingespielt werden.
„`