Ellucian WebAdvisor: Unauthentifizierte XML External Entity (XXE) Injection
Zusammenfassung
Ellucian WebAdvisor 3.2 enthält eine unauthentifizierte XML External Entity (XXE) Injection im Endpunkt /WebAdvisor/WebAdvisor. Ein Angreifer kann ohne Anmeldung manipulierte XML-POST-Anfragen senden, was Server-Side Request Forgery auslösen, NTLMv2-Hashes über vom Angreifer kontrollierte SMB-Freigaben preisgeben und beliebige Dateien vom zugrunde liegenden Windows-Host lesen kann. WebAdvisor ist seit Juni 2022 nicht mehr im Support, daher ist ein Herstellerfix unwahrscheinlich. Das Risiko betrifft vor allem Hochschulen, die WebAdvisor noch betreiben.
Betroffen
- Ellucian WebAdvisor 3.2
- Ob frühere Versionen betroffen sind: Unbekannt.
Behoben in
Unbekannt. Kein Fix und kein Sicherheitsbulletin des Herstellers gefunden. Das Produkt ist nicht mehr im Support.
Umgehung
- Vom Hersteller wurde keine Workaround veröffentlicht.
- Zugriff auf /WebAdvisor/WebAdvisor über einen Reverse Proxy oder eine WAF einschränken und, wo möglich, die direkte Exposition im Internet entfernen.
- Ausgehenden SMB-Verkehr (TCP 445) und uneingeschränkte ausgehende Verbindungen vom Webserver blockieren.
- Das Dienstkonto mit minimalen Rechten betreiben und NTLM wo möglich deaktivieren oder einschränken.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird; nicht im CISA KEV.
- Kein öffentlicher Proof of Concept gefunden. VulDB bezweifelt die Existenz der Schwachstelle.
- CISA SSVC: automatisierbar ja, technische Auswirkung partiell.
Unsere Empfehlung
- Prüfen, ob WebAdvisor im Einsatz ist und ob es aus dem Internet erreichbar ist.
- Wie vom Hersteller empfohlen auf Colleague Self-Service migrieren.
- Falls WebAdvisor online bleiben muss, die oben genannten Einschränkungen umsetzen und auf ungewöhnliche XML-POST-Anfragen und unerwartete ausgehende Verbindungen überwachen.
- Die endgültige NVD-Bewertung prüfen und beim Hersteller nach einem offiziellen Bulletin suchen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory: Ellucian WebAdvisor 3.2 Unauthenticated XXE Injection www.vulncheck.com
- VulDB entry 420454 (disputed) vuldb.com
- OpenCVE: CVE-2026-109430 app.opencve.io
- HOL Guard: CVE-2026-109430 hol.org
- Vulners VulnRichment: CVE-2026-109430 vulners.com
- Rock Creek Community College: Self-Service FAQs (WebAdvisor end of support) rsccd.edu
- MassArt wiki: WebAdvisor retirement notice wiki.massart.edu
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:40.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.