Apache Roller: XML External Entity Processing in AtomPub

Zusammenfassung

Apache Roller in den Versionen 4.0 bis 6.1.6 verarbeitet externe XML-Entitäten im AtomPub-Endpunkt. Ein authentifizierter Benutzer, auch ohne Berechtigungen auf einem Weblog, kann einen manipulierten Atom-Eintrag senden, um Dateien zu lesen, die dem Roller-Prozess zugänglich sind, und den Server veranlassen, ausgehende HTTP-Anfragen an vom Angreifer gewählte Ziele zu senden. Der Eintrag wird vor der Berechtigungsprüfung und vor der Prüfung der AtomPub-Aktivierung geparst. Gemäss CVE-Text ist der Endpunkt daher auf einer Standardinstallation mit jedem gültigen Konto erreichbar.

Betroffen

• Apache Roller 4.0 bis 6.1.6
• Standardkonfiguration: Der CNA-Eintrag gibt den Standard als unbekannt an; der CVE-Text besagt, dass der Endpunkt auf einer Standardinstallation erreichbar ist.

Behoben in

• Apache Roller 6.1.7 oder neuer (die finale Version 6.1.7 sollte vor dem Upgrade auf der Download-Seite von Apache bestätigt werden)

Umgehung

• Der Hersteller dokumentiert keine Workaround-Massnahme.
• Falls AtomPub nicht benötigt wird, den Zugriff auf /roller-services/app/ am Reverse Proxy oder WAF einschränken. Das Deaktivieren der Funktion in Roller verhindert das XML-Parsing unter Umständen nicht; dies zuerst testen.
• Ausgehende Verbindungen vom Roller-Server einschränken, um Server-Side Request Forgery zu begrenzen.

Ausnutzung

• Gemäss verfügbaren Threat-Intelligence-Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
• Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden; in den kommenden Tagen erneut prüfen.

Unsere Empfehlung

• Alle Roller-Instanzen und deren Versionen inventarisieren; 4.0 bis 6.1.6 als verwundbar behandeln.
• Nach Bestätigung der finalen Version auf 6.1.7 oder neuer aktualisieren; öffentlich erreichbare Instanzen priorisieren.
• Bis zum Patch die oben genannten Workarounds anwenden.
• Benutzerkonten prüfen, nicht benötigte entfernen und die Dateiberechtigungen des Roller-Dienstkontos kontrollieren; bei Verdacht auf Missbrauch Zugangsdaten rotieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Apache Roller pull request #198 (AtomPub servlet) github.com
• Apache Roller pull request #201 (Secure XML parsing) github.com
• Apache mailing list thread lists.apache.org
• Threat Radar entry for CVE-2026-105153 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:23.