Goobi viewer: Fehlende Authentifizierung im Download-WebSocket führt zu SSRF und Dateizugriff

Zusammenfassung

Goobi viewer Core ab Version 24.03 bis vor Version 26.05 akzeptiert Download-Anfragen am DownloadTaskEndpoint-WebSocket ohne Authentifizierung. Ein nicht authentifizierter Angreifer aus dem Netz kann serverseitige Anfragen auslösen (SSRF) und bestimmte lokale Dateien lesen, die für den Tomcat-Prozess lesbar sind. Der Hersteller-Advisory beschreibt zusätzlich die Offenlegung von Solr-Indexmetadaten und das Entladen des Solr-Cores, wodurch der Viewer bis zur Neuindexierung nicht verfügbar ist; diese Auswirkungen wurden nicht unabhängig reproduziert. Zum Zeitpunkt der Recherche wurden weder ein öffentlicher Proof of Concept noch eine bekannte Ausnutzung gefunden.

Betroffen

• intranda goobi-viewer-core, Versionen 24.03 bis vor 26.05
• Betroffener Endpunkt: /tasks/download/monitor.socket
• NVD-Status: Deferred; CVSS 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) gemäss CNA

Behoben in

• Behoben in goobi-viewer-core 26.05
• Fix-Commits: 5281245 und b8943ee

Umgehung

• Kein Workaround nötig, wenn auf 26.05 oder neuer aktualisiert werden kann.
• Übergangsmassnahme bis zum Patch: Zugriff auf den WebSocket-Pfad des Viewers über einen Reverse Proxy oder eine Firewall einschränken. Dies wurde nicht als ausreichend verifiziert.
• Für Details zu Workarounds das Hersteller-Advisory GHSA-79jg-3m2m-jgc8 lesen, bevor man sich darauf verlässt.

Ausnutzung

• Bekannte Ausnutzung: keine gefunden.
• Öffentlicher Proof of Concept: keiner gefunden.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Ein verwandtes Advisory (GHSA-r386-2frm-w3v6) beschreibt eine Path Traversal in ExternalFilesDownloader, die mit dieser Schwachstelle verkettet werden kann; laut Bericht führt dies zur Codeausführung als Tomcat-Benutzer. Dies ist nicht verifiziert.

Unsere Empfehlung

• Alle goobi-viewer-core-Instanzen identifizieren und die eingesetzte Version prüfen, auch bei Instanzen eines Dienstleisters.
• Prioritär auf Version 26.05 oder neuer aktualisieren, insbesondere bei aus dem Internet erreichbaren Instanzen.
• Falls der Patch verzögert wird, Zugriff auf /tasks/download/monitor.socket einschränken und Logs auf unerwartete Download-Anfragen prüfen.
• Prüfen, ob Solr- und Tomcat-Hosts direkt exponiert sind.
• Das verwandte Advisory GHSA-r386-2frm-w3v6 prüfen und auf öffentliche Proof-of-Concept-Veröffentlichungen und KEV-Updates achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GHSA-79jg-3m2m-jgc8 Security Advisory github.com
• Release v26.05 github.com
• Fix commit 5281245 (SSRF validation in downloader) github.com
• Fix commit b8943ee (SSRF protection in NetTools) github.com
• Vulners CVE record vulners.com
• VulDB entry vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:41.