Kiota: Codeinjektion durch Wiederbildung von Doc-Comment-Begrenzern

Zusammenfassung

Kiota, ein auf OpenAPI basierender Code-Generator für HTTP-Clients, neutralisiert Block-Kommentar-Terminatoren in den Java- und PHP-Generatoren nicht vollständig. Vom Angreifer kontrollierter Text in einer OpenAPI-Beschreibung kann einen Kommentar-Terminator neu bilden und Code ausserhalb eines generierten Dokumentationskommentars platzieren. Voraussetzung ist, dass ein Entwickler oder eine Build-Pipeline Code aus der bösartigen Beschreibung generiert und anschliessend die Java-Ausgabe kompiliert und lädt oder die PHP-Ausgabe lädt.

Betroffen

• Kiota-Java- und PHP-Generatoren ab 0.5.0 vor 1.35.0
• NuGet-Pakete Microsoft.OpenApi.Kiota und Microsoft.OpenApi.Kiota.Builder, Versionen >= 0.5.0 und < 1.35.0
• Das Advisory besagt, dass der Bereich auf dem Java-Defekt basiert und nicht bestätigt, dass PHP-Generierung in jeder Version dieses Bereichs existierte.

Behoben in

• Behoben in Version 1.35.0
• Das Advisory besagt, dass 1.35.0 sowohl die Java- als auch die PHP-Variante behebt.
• Unbekannt: Ob die Sicherheits-Backports der 1.29.x-Reihe die Korrektur enthalten. Dies im Advisory prüfen, bevor man sich auf eine 1.29.x-Version verlässt.

Umgehung

• Der Hersteller dokumentiert keine Workaround-Massnahme ausser dem Upgrade.
• Übergangsmassnahme: Generierten Java- und PHP-Code vor dem Kompilieren, Laden oder Ausrollen prüfen und die Generierung auf vertrauenswürdige OpenAPI-Spezifikationen beschränken.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• Nicht im CISA-KEV-Katalog aufgeführt. CISA-SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• .NET-Projekte und Build-Pipelines auf Microsoft.OpenApi.Kiota und Microsoft.OpenApi.Kiota.Builder prüfen, einschliesslich transitiver Abhängigkeiten, und jede Java- oder PHP-Generierung identifizieren.
• Auf Kiota 1.35.0 oder neuer aktualisieren und alle betroffenen Clients neu generieren.
• Bis zur Aktualisierung den generierten Java- und PHP-Code prüfen und Clients nur aus vertrauenswürdigen OpenAPI-Spezifikationen generieren.
• Pipelines priorisieren, die OpenAPI-Spezifikationen von Drittanbietern oder Partnern verwenden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-rm89-rhwj-9j92 github.com
• Kiota release v1.35.0 github.com
• Fix commit 68f33b8 github.com
• Pull request #8017 github.com
• GitHub Advisory GHSA-rm89-rhwj-9j92 github.com
• OSV GHSA-rm89-rhwj-9j92 osv.dev
• Kiota releases github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:16.