Misskey: Fehlende Rate-Limitierung und Grössenbeschränkungen in unauthentifizierter fetch-rss-API

Zusammenfassung

Misskey, eine Open-Source-Plattform für soziale Medien im Fediverse, verfügt über eine unauthentifizierte fetch-rss-API, der eine Rate-Limitierung und Beschränkungen der Antwortgrösse fehlen und die XML synchron verarbeitet. Ein Angreifer ohne Konto kann den Server veranlassen, unbegrenzt ausgehende HTTP-Anfragen zu senden, was Ressourcen der Instanz erschöpfen, Datenverkehr zu Drittservern verstärken oder erreichbare Netzwerkdienste ausspähen kann, auch wenn Federation deaktiviert ist. Der CVSS-4.0-Basiswert von 8.7 stammt aus dem CVE-Eintrag; die Analyse durch NVD steht noch aus.

Betroffen

• Misskey-Versionen vor 2026.7.0 (der CVE-Eintrag nennt betroffene Bereiche von 12.0.0 bis 13.14.2 sowie von 2023.9.0-beta.1 bis vor 2026.7.0; die genauen Grenzen sind in der Herstellerwarnung noch nicht bestätigt)

Behoben in

• Misskey 2026.7.0 oder neuer (aktuelle Version empfohlen)

Umgehung

• Es ist kein Workaround des Herstellers dokumentiert.
• Übergangsmassnahmen (keine Herstellerempfehlung): öffentlichen Zugriff auf den fetch-rss-Endpunkt am Reverse Proxy einschränken oder blockieren, Rate-Limits vor der API setzen und ausgehenden Datenverkehr des Servers zu internen Netzwerken und Cloud-Metadatendiensten einschränken.

Ausnutzung

• Zum Zeitpunkt der Recherche wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn oder einen öffentlichen Proof of Concept gefunden.
• CISA SSVC (laut CVE-Eintrag): Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog gelistet.

Unsere Empfehlung

• Alle Misskey-Instanzen in Ihrer Organisation identifizieren, auch Community- oder Marketingprojekte.
• Den betroffenen Versionsbereich in der GitHub-Sicherheitswarnung bestätigen.
• Auf Misskey 2026.7.0 oder neuer aktualisieren, nachdem die Hinweise vor dem Upgrade geprüft wurden.
• Bis zur Behebung den Zugriff auf den fetch-rss-Endpunkt einschränken und CPU-, Speicher- und ausgehendes Anfragevolumen überwachen.
• Aus dem Internet erreichbare Instanzen haben die höchste Priorität; rein interne Instanzen sind mit geringerem Risiko verbunden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-4x7v-qx8f-g3p8 github.com
• Misskey fix commit a12ee2e github.com
• Misskey release 2026.7.0 github.com
• OSV entry CVE-2026-104817 osv.dev
• VulDB entry 417915 vuldb.com
• Strix CVE-2026-104817 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:22.