Twisted: Denial of Service über unbegrenztes XML-Stanza in words.xish.domish

Zusammenfassung

Twisted, ein ereignisbasiertes Python-Framework für Netzwerkanwendungen, enthält einen Fehler im XML-Stream-Parser für XMPP in twisted.words.xish.domish. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann ein Container-Element offen halten und fortlaufend Kindelemente hinzufügen, wobei der Parser das unvollständige Stanza ohne Grössen- oder Elementbegrenzung im Speicher ablegt. Da dies vor der Authentifizierung geschieht, kann eine einzige Verbindung den Arbeitsspeicher des Servers erschöpfen und den Prozess beenden.

Betroffen

• Twisted-Versionen vor 26.10.0rc1
• Betroffene Komponente: XMPP-XML-Stream-Parser (domish) in twisted.words
• Betroffen sind nur Anwendungen, die diesen Parser verwenden, zum Beispiel ein auf Twisted basierender XMPP-Dienst

Behoben in

• Behoben in Twisted 26.10.0rc1 (Vorabversion)
• Fix-Commit: 8873814bec8288e2466fad4d2c4d64039beb88b0
• Eine spätere stabile Version (26.10.0) soll den Fix enthalten; vor dem Rollout auf der Release-Seite prüfen

Umgehung

• Kein vom Hersteller dokumentierter Workaround bekannt.
• Falls der XMPP-Listener nicht benötigt wird, diesen deaktivieren oder den Zugriff auf dessen Port per Firewall einschränken, bis das Update eingespielt ist.

Ausnutzung

• Der Herstellerhinweis meldet, dass ein Proof of Concept gegen Version 26.4.0 bestätigt wurde. Öffentliche Verfügbarkeit unbekannt.
• Die CISA-SSVC-Bewertung lautet: Exploitation: PoC, automatisierbar: ja, technische Auswirkung: partiell.
• Keine Hinweise auf aktive Ausnutzung in freier Wildbahn gefunden; nicht gegen CISA KEV geprüft.

Unsere Empfehlung

• Python-Umgebungen auf Twisted prüfen, einschliesslich transitiver Abhängigkeiten wie Scrapy, und alle XMPP-Listener identifizieren.
• Ist ein XMPP-Dienst aus dem Internet erreichbar, das Update auf 26.10 prioritär einspielen (nach Prüfung bevorzugt die stabile Version) und den Zugriff auf den XMPP-Port bis dahin einschränken.
• Ist kein Zugriff von aussen möglich, das Update im regulären Patch-Zyklus einspielen und die Beurteilung dokumentieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-3476-c5c2-fr73 github.com
• Twisted 26.10.0rc1 release github.com
• Fix commit 8873814 github.com
• Pull request #12751 github.com
• OSV CVE-2026-115775 osv.dev
• GitLab advisory CVE-2026-115775 advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:24.