Apache Fesod: SSRF-Schutz in UrlImageConverter per DNS Rebinding umgehbar
Zusammenfassung
Der SSRF-Schutz der Komponente UrlImageConverter in Apache Fesod (Incubating) fesod-sheet 2.0.2-incubating lässt sich per DNS Rebinding umgehen. Der Converter prüft die aufgelösten IP-Adressen eines Hostnamens, öffnet danach aber eine separate Verbindung, die den Hostnamen erneut auflösen kann. Ein Angreifer, der die DNS-Antworten für den Hostnamen einer Bild-URL kontrolliert, kann nach der Prüfung eingeschränkte interne Adressen erreichen, sofern die Anwendung vom Angreifer kontrollierte Bild-URLs beim Schreiben von Tabellen akzeptiert.
Betroffen
- fesod-sheet 2.0.2-incubating (Maven: org.apache.fesod:fesod-sheet)
- Standardkonfiguration: laut CVE-Eintrag nicht betroffen
- Versionen vor 2.0.2-incubating: im Umfang dieser CVE unbekannt (siehe CVE-2026-49328)
Behoben in
- Apache Fesod (Incubating) 2.1.0-incubating
- Das Abrufen von Bildern über Remote-URLs ist standardmässig deaktiviert und erfordert bei Aktivierung eine explizite Allowlist mit exakten Hostnamen
Umgehung
- Das Abrufen von Remote-URL-Bildern in der Anwendung deaktivieren, falls es nicht benötigt wird
- Falls es benötigt wird, nur Hostnamen erlauben, deren DNS- und HTTP-Dienste vollständig vertrauenswürdig sind; dies verringert das Risiko, beseitigt es aber nicht
- Ausgehendes HTTP und HTTPS des Anwendungsservers einschränken, sodass dieser keine internen Netze oder Cloud-Metadaten-Adressen erreichen kann
Ausnutzung
- Zum Zeitpunkt der Erstellung ist keine aktive Ausnutzung bekannt
- Kein öffentlicher Proof of Concept gefunden
- CISA-SSVC-Bewertung: Exploitation none, Automatable yes, Technical Impact total
- Der CVSS-Wert 9.1 ist noch nicht verifiziert; die NVD-Analyse war ausstehend
Unsere Empfehlung
- fesod-sheet auf 2.1.0-incubating aktualisieren
- Alle Anwendungen mit fesod-sheet ermitteln und prüfen, ob das Abrufen von Remote-URL-Bildern aktiviert ist
- Bis zur Aktualisierung die oben genannten Workarounds anwenden
- Ausgehende Verbindungen der Anwendung auf Zugriffe auf interne Adressen überwachen
- Nach Abschluss der NVD-Analyse den Eintrag prüfen, um den Schweregrad zu bestätigen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Fesod blog: CVE-2026-107460 advisory fesod.apache.org
- OSV: CVE-2026-107460 osv.dev
- GitHub pull request #1035: require an allowlist for remote URL images github.com
- GitHub release Apache Fesod 2.1.0-incubating github.com
- Apache mailing list thread lists.apache.org
- Vulners: CVE-2026-107460 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:48.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.