gocsaf csaf_provider: Unkontrollierter Ressourcenverbrauch führt zu Denial of Service
Zusammenfassung
Die Komponente csaf_provider des gocsaf/csaf-Projekts, einem Werkzeug zur Veröffentlichung von CSAF-Sicherheitsmeldungen, begrenzt die Ressourcenzuweisung nicht. Ein nicht authentifizierter Angreifer kann Anfragen senden, die eine hohe CPU-Last und einen Denial of Service verursachen. Die Schwachstelle ist vor der Passwortprüfung erreichbar, weshalb exponierte Instanzen gefährdet sind.
Betroffen
- csaf_provider-Versionen 0.0.0 bis 3.6.0 (CNA-Bereich)
- VulDB listet 3.0 bis 3.6.0; der genaue Bereich sollte anhand der Herstellerinformation geprüft werden
- Weitere gocsaf-Komponenten (csaf_aggregator, csaf_checker, csaf_downloader, csaf_uploader, csaf_validator) sind laut Hersteller nicht betroffen
Behoben in
- Version 3.7.0 wird vom Hersteller als behoben angegeben
- Unbekannt: Die Herstellermeldung konnte im Rahmen dieser Bewertung nicht verifiziert werden
Umgehung
- csaf_provider deaktivieren oder den Zugriff auf vertrauenswürdige Netzwerke beschränken, bis eine korrigierte Version bestätigt ist
- Unbekannt: Keine vom Hersteller bestätigte Workaround-Massnahme über die Zugriffsbeschränkung hinaus
Ausnutzung
- VulDB und PSIRT listen keinen öffentlichen Exploit und keinen Eintrag im CISA-KEV-Katalog
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial
- Es wurden keine Berichte über Ausnutzung in freier Wildbahn gefunden
Unsere Empfehlung
- Prüfen, ob csaf_provider installiert ist, einschliesslich des CGI-Endpunkts
- Falls installiert und aus dem Internet erreichbar, Zugriff auf vertrauenswürdige Netzwerke beschränken oder den Dienst deaktivieren
- Auf Version 3.7.0 oder neuer aktualisieren, sobald dies durch die Herstellermeldung bestätigt ist
- Herstellermeldung und CPU-Last auf betroffenen Systemen überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE-2026-107564 vendor advisory gocsaf-2026-001 gocsaf.github.io
- CVE Record CVE-2026-107564 www.strix.ai
- VulDB entry 421278 vuldb.com
- PSIRT CVE-2026-107564 psirt.com
- Upstream GitHub issue 776 github.com
- csaf_provider Go package documentation pkg.go.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.