NGINX njs: Inkonsistente XML-Attributbehandlung erlaubt Umgehung der Signaturprüfung

Zusammenfassung

Das XML-Modul von NGINX JavaScript (njs) liefert bei entitätsbasierten XML-Attributen während der Kanonisierung inkonsistente Werte, sowohl im integrierten njs-Backend als auch im QuickJS-Backend. Ein nicht authentifizierter Angreifer, der ein echt signiertes Dokument beschaffen kann, kann sicherheitsrelevante Attribute als fehlend oder gekürzt erscheinen lassen, während die Signaturprüfung weiterhin erfolgreich ist. In nginx-saml mit dem integrierten njs-Backend können so Prüfungen auf Ablauf, Destination und Anfragezuordnung umgangen werden, was Wiederverwendung einer Antwort ausserhalb ihres vorgesehenen Kontexts ermöglicht.

Betroffen

• NGINX JavaScript (njs) 0.7.10 bis vor 1.0.2, integriertes njs- und QuickJS-Backend
• nginx-saml-Installationen mit dem integrierten njs-Backend
• Standardkonfiguration: Unbekannt

Behoben in

• njs 1.0.2 (gemäss F5-Advisory K000162615)
• Hinweis: njs 1.0.2 ändert das Verhalten der XML-API (Knotenmutation und Kanonisierung weisen losgelöste Knoten ab). Eigenen njs-Code vor dem Upgrade testen.

Umgehung

• Eingaben mit DTD vor dem Aufruf von xml.parse() abweisen. Das vollständige Dokument nach Dekodierung der akzeptierten Eingabecodierung prüfen; ein Parser-seitiges DTD-Verbot ist einer einfachen Bytesuche nach "<!DOCTYPE" vorzuziehen.
• Fehlende sicherheitsrelevante Attribute als Validierungsfehler behandeln.
• nginx-saml: Destination, InResponseTo, Gültigkeit der Assertion, Bearer-SubjectConfirmation und Recipient explizit prüfen.
• Der Wechsel auf die QuickJS-Engine ist keine Massnahme, da beide Engines betroffen sind.

Ausnutzung

• Zum Zeitpunkt der Recherche sind keine Ausnutzungen in freier Wildbahn und kein öffentlicher Proof of Concept bekannt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
• EPSS 0.002.

Unsere Empfehlung

• Prüfen, ob auf NGINX-Hosts njs geladen wird (js_import) und das XML-Modul zur Signaturprüfung verwendet wird, einschliesslich nginx-saml.
• Falls betroffen, njs auf 1.0.2 oder das gepatchte Paket der Distribution aktualisieren; eigenen njs-Code vorher testen.
• Bis zur Behebung DTD-haltiges XML vor dem Parsen abweisen.
• SAML-Schutz vor Wiederverwendung sowie Destination- und Audience-Prüfungen als kompensierende Massnahme überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• F5 Security Advisory K000162615 my.f5.com
• njs 1.0.2 release notes github.com
• F5 advisory nginx-saml K000162602 my.f5.com
• Ubuntu security tracker CVE-2026-101019 ubuntu.com
• NGINX security news nginx.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:46.