SimplePie: Lesen lokaler Dateien über file://-Weiterleitungen beim Feed-Abruf

Zusammenfassung

SimplePie, eine PHP-Bibliothek zum Parsen von Atom- und RSS-Feeds, kann bis einschliesslich Version 1.9.0 dazu gebracht werden, lokale Dateien zu lesen. Ein bösartiger Feed-Server kann eine HTTP-Weiterleitung (Location-Header) oder einen Feed-Link mit einem file://-Pfad zurückgeben, woraufhin SimplePie die Datei mit file_get_contents() liest. Ein Angreifer kann alle Dateien lesen, auf die der Webserver-Prozess zugreifen kann, etwa Konfigurationsdateien mit Zugangsdaten, kann die Daten jedoch nicht verändern. Voraussetzung ist, dass ein Angreifer beeinflussen kann, welche Feed-URLs die Anwendung abruft.

Betroffen

• SimplePie bis einschliesslich 1.9.0 (betroffener Bereich 0 bis einschliesslich 1.9.0 gemäss CVE-Eintrag)
• Eingebettete oder mitgelieferte Kopien in anderer Software (CMS, Plugins, Appliances) sind betroffen, wenn sie diese Versionen verwenden
• Unbekannte Entwicklungsversionen sind als betroffen zu behandeln

Behoben in

Unbekannt. Es ist keine korrigierte Version bestätigt. Die Upstream-Pull-Requests #991 und #994 adressieren das Problem, ihr Veröffentlichungsstatus ist jedoch nicht bestätigt. Das Projekt garantiert keine Sicherheitskorrekturen für ältere Versionen.

Umgehung

• Kein vom Hersteller veröffentlichter Workaround gefunden.
• Änderungen an Feed-URLs auf vertrauenswürdige Administratoren beschränken.
• Das Leserecht des Webserver-Benutzers auf sensible Dateien wie Konfigurationsdateien mit Datenbank-Zugangsdaten einschränken.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn. Gemäss einem Aggregator ist die Schwachstelle nicht im CISA-KEV-Katalog aufgeführt.
• Ein öffentlicher Proof of Concept existiert: Das Repository eines Forschers demonstriert das Problem in einer Entwicklungsversion von pfSense CE.
• CISA SSVC: Exploitation poc, nicht automatisierbar.
• EPSS-Wert 0.0031.

Unsere Empfehlung

• Alle SimplePie-Installationen inventarisieren, einschliesslich Kopien in CMS, Plugins und Appliances, und Versionen bis 1.9.0 als betroffen behandeln.
• Prüfen, ob der Feed-Abruf für Nicht-Administratoren oder aus dem Internet erreichbar ist, und diese Systeme priorisieren.
• Die Verwaltung von Feed-URLs auf vertrauenswürdige Administratoren beschränken und das Dateileserecht des Webserver-Benutzers einschränken.
• PR #991, PR #994 und Upstream-Releases überwachen und auf eine korrigierte Version aktualisieren, sobald diese veröffentlicht ist.
• Die unterschiedlichen CVSS- und CWE-Angaben zwischen den Quellen bei der eigenen Priorisierung berücksichtigen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory: SimplePie local file read via file redirect www.vulncheck.com
• CVE record aggregator (Vulners) vulners.com
• SimplePie project repository github.com
• SimplePie pull request #991 github.com
• SimplePie pull request #994 github.com
• SimplePie issue #968 github.com
• VulDB entry 420892 vuldb.com
• Public proof of concept repository (pfSense RSS file redirect) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:57.