Apache Abdera: XML External Entity Expansion bei Atom-Parsing
Zusammenfassung
Apache Abdera, eine nicht mehr gepflegte Java-Bibliothek zum Parsen von Atom-Feeds, schränkt externe XML-Entity-Referenzen nicht ein. Ein Angreifer, der XML liefern kann, das eine Anwendung mit Abdera verarbeitet, kann möglicherweise sensible Daten auslesen oder serverseitige Anfragen auslösen. Der CVE-Eintrag nennt alle Versionen als betroffen und hält fest, dass wegen der Archivierung des Projekts kein Fix veröffentlicht wird.
Betroffen
- Apache Abdera, alle Versionen (gemäss CVE-Text)
- Maven-Artefakte abdera-parser und abdera-jdbc
- Die Produktdaten des CNA nennen zusätzlich einen Commit-basierten Bereich ab cb5a3646fc8b2a620dba5bdde3a6b7a3753b1be2; dies liess sich nicht mit der Aussage "alle Versionen" abgleichen
Behoben in
- Keine. Apache Abdera ist archiviert, und es wird kein Fix veröffentlicht.
Umgehung
- Unvertrauenswürdiges XML von den betroffenen Abdera-Parser- und JDBC-Adapter-Verarbeitungspfaden fernhalten.
- Externe Entity- und DTD-Verarbeitung in der XML-Parser-Konfiguration von Anwendungen deaktivieren, die Abdera noch verwenden (nicht gegen die Parser-Einstellungen von Abdera verifiziert; zuerst testen).
Ausnutzung
- Bekannt ausgenutzt: nein, gemäss den geprüften Quellen.
- EPSS: 0.00463 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- Ein öffentlicher Exploit-Eintrag existiert, ist aber nicht verifiziert.
Unsere Empfehlung
- Prüfen, ob Java-Anwendungen oder Abhängigkeitsbäume abdera-parser oder abdera-jdbc enthalten.
- Migration auf eine gepflegte Bibliothek für Atom- oder XML-Verarbeitung planen.
- Bis zur Migration unvertrauenswürdige XML-Eingaben für betroffene Codepfade sperren und externe Entity-Verarbeitung deaktivieren.
- Auf Updates von Herstellern oder nachgelagerten Produkten achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Attic: Apache Abdera attic.apache.org
- Apache lists thread lists.apache.org
- oss-security post www.openwall.com
- Tenable CVE page www.tenable.com
- HOL Guard CVE page hol.org
- Strix CVE page www.strix.ai
- ThreatInt CVE page cve.threatint.com
- Apache security-site pull request 125 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:44.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.