Square Squash: Unauthentifizierte YAML-Deserialisierung in der Symbolication API

Zusammenfassung

Square Squash bis Commit e73f280 enthält eine unsichere Deserialisierung im Endpunkt POST /api/1.0/symbolication. Ein nicht authentifizierter Angreifer kann manipuliertes YAML speichern, das später mit SafeYAML im unsicheren Modus geladen wird, wenn Vorkommnisse mit der vom Angreifer kontrollierten UUID symbolisiert werden. Eine erfolgreiche Ausnutzung kann zur Deserialisierung beliebiger Ruby-Objekte und möglicherweise zur Ausführung von Code auf dem Server führen.

Betroffen

• Square Squash bis Commit e73f2805f9eb30780a5c213b001f0f4255660fbf (gemäss CNA-Eintrag sind Versionen 0 bis Commit e73f280 betroffen; Standard ist nicht betroffen)

Behoben in

Unbekannt. Es wurde kein Herstellerfix oder gepatchte Version identifiziert.

Umgehung

• Keine vom Hersteller veröffentlichte Massnahme.
• Netzwerkzugriff auf /api/1.0/symbolication auf vertrauenswürdige Client-Hosts beschränken, zum Beispiel über Reverse Proxy oder Firewall-ACL. Dies ist eine allgemeine Empfehlung und keine Aussage des Herstellers.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn; in den geprüften Quellen wurde kein KEV-Eintrag identifiziert.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Der Status eines öffentlichen Proof of Concept ist nicht verifiziert und die Quellen widersprechen sich.

Unsere Empfehlung

• Alle Squash-Installationen inventarisieren, inklusive Version bzw. Commit und Internetexposition.
• Externen und nicht vertrauenswürdigen Zugriff auf die Squash-API jetzt sperren oder einschränken.
• Das Repository SquareSquash/web und den VulnCheck-Advisory auf einen Fix oder eine Wartungsmitteilung prüfen.
• Kann eine eingesetzte Installation nicht als gepatcht bestätigt werden, Ausserbetriebnahme prüfen oder durch ein gewartetes Tool ersetzen.
• Status von Exploits und KEV überwachen und in einigen Tagen erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Square Squash web repository github.com
• Vulnerable controller at commit e73f280 github.com
• SafeYAML configuration at commit e73f280 github.com
• Symbolication model at commit e73f280 github.com
• VulnCheck advisory www.vulncheck.com
• OSV entry for CVE-2026-109391 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:44.