Dropbox esaml: Erschöpfung der Atom-Tabelle über manipulierte SAML-Nachrichten
Zusammenfassung
Die Erlang-SAML-Bibliothek esaml erzeugt für jeden unterschiedlichen Element-, Attribut- und Namensraumnamen in einer eingehenden SAMLResponse dauerhafte Atome, und zwar noch vor jeder Signaturprüfung. Die SAML-Consume-(ACS-) und Single-Logout-Endpunkte nehmen diese Eingaben von nicht authentifizierten Benutzern entgegen. Wenige Dutzend kleiner Anfragen können die Atom-Tabelle der Erlang-VM erschöpfen und den Knoten zum Absturz bringen, was zu einem Denial of Service beim betroffenen Service Provider führt.
Betroffen
- dropbox esaml ab 0.1.0 (gemäss CNA-Eintrag)
- Git-Versionen ab Commit deeb84378d5c82153b470e99d24f77c38afca14a (Forks von arekinath, handnot2 und dropbox)
- Hex-Paket esaml ab 0.1.0 (gemäss CNA-Eintrag)
Behoben in
Unbekannt. In den Quellen wurde keine korrigierte Version identifiziert. Commit deeb84378d5c82153b470e99d24f77c38afca14a und die Release-Notes auf Hex prüfen.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Anfragen an die ACS- und Logout-Pfade ratenbegrenzen oder per WAF filtern, wobei der Identity Provider sie weiterhin erreichen muss.
- Anzahl der Erlang-Atome überwachen und bei unerwarteten Knoten-Neustarts alarmieren.
Ausnutzung
- CISA SSVC: Ausnutzungsstatus PoC, automatisierbar: ja, technische Auswirkung: teilweise.
- Kein öffentlicher Proof of Concept gefunden; nicht in der Liste bekannt ausgenutzter Schwachstellen.
Unsere Empfehlung
- Prüfen, ob eine Erlang- oder Elixir-Anwendung esaml oder samly einbindet (Lock-Dateien kontrollieren).
- Falls vorhanden, beim Anwendungshersteller eine korrigierte Version und ein Datum für das Update verlangen.
- Bis zur Installation eines Fixes die oben genannten Überwachungs- und Ratenbegrenzungsmassnahmen anwenden.
- Falls kein Fix verfügbar ist, eine Migration auf eine gepflegte SAML-Bibliothek planen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CNA record CVE-2026-105270 cna.erlef.org
- Commit deeb843 in dropbox/esaml github.com
- OSV record EEF-CVE-2026-105270 osv.dev
- Hex package esaml hex.pm
- Hex package esaml versions hex.pm
- VulDB entry 425200 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:55.
Referenzen der NVD (6)
- https://cna.erlef.org/cves/CVE-2026-105270.html
- https://github.com/arekinath/esaml/commit/deeb84378d5c82153b470e99d24f77c38afca14a
- https://github.com/dropbox/esaml/commit/deeb84378d5c82153b470e99d24f77c38afca14a
- https://github.com/handnot2/esaml/commit/deeb84378d5c82153b470e99d24f77c38afca14a
- https://osv.dev/vulnerability/EEF-CVE-2026-105270
- https://osv.dev/vulnerability/EEF-CVE-2026-105270
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.