Kitodo.Production: XML External Entity (XXE) Injection im EAD/XML-Upload

Zusammenfassung

Kitodo.Production, eine Webanwendung für die Massendigitalisierung, verarbeitet über den Dialog "Prozess erstellen" hochgeladene XML-Dateien mit unsicheren XML-Parser-Standardeinstellungen. Ein authentifizierter Benutzer, der diesen Upload nutzen kann, kann eine präparierte Datei mit einer externen Entität einreichen, um lokale Dateien auf dem Server zu lesen oder ausgehende Anfragen (SSRF) zu senden. Die CNA bewertet die Schwachstelle mit 8.7 (Hoch), während VulDB sie mit 6.3 (Mittel) einstuft.

Betroffen

• Kitodo.Production vor 3.9.2 (CNA: betroffen < 3.9.2)
• Das GitHub-Advisory listet <= 3.9.1; VulDB nennt 3.9.0 und 3.9.1
• Frühere 3.x-Versionen und die 4.0.x-Linie: Unbekannt.

Behoben in

• Kitodo.Production 3.9.2 (Changelog-Eintrag #7072 härtet die XMLUtils-Parser für EAD/XML-Uploads ab)
• Kitodo.Production 3.9.4 oder neuer wird empfohlen, da diese Version zusätzlich eine separate Zugriffskontrollschwachstelle behebt.

Umgehung

• Auf gepatchten Systemen ist kein Workaround nötig.
• Bis das Update eingespielt ist (Empfehlung, nicht aus einer Quelle): Upload-Rechte für "Prozess erstellen" auf vertrauenswürdige Mitarbeitende beschränken, ungenutzte Konten entfernen und ausgehende Verbindungen vom Applikationsserver einschränken.

Ausnutzung

• Bekannte Ausnutzung (KEV / in freier Wildbahn): Keine Hinweise gefunden.
• CISA SSVC führt die Ausnutzung als "poc"; nicht automatisierbar.
• Ein öffentliches Proof-of-Concept-Repository eines Drittanbieters existiert, wurde jedoch nicht verifiziert.
• VulDB gibt an, dass kein Exploit verfügbar ist.

Unsere Empfehlung

• Alle Kitodo.Production-Installationen und deren Versionen inventarisieren.
• Auf 3.9.4 oder die neueste unterstützte 3.9.x-Version aktualisieren (mindestens 3.9.2); den Status der 4.0.x-Linie beim Hersteller bestätigen.
• Benutzerkonten und Upload-Rechte für den Dialog "Prozess erstellen" überprüfen und einschränken.
• Prüfen, ob die Kitodo-Weboberfläche aus dem Internet erreichbar ist.
• Serverprotokolle auf ungewöhnliche EAD/XML-Uploads oder unerwartete ausgehende Verbindungen des Applikationsservers prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  KernelEditor/CVE-2026-54668

Quellen der Recherche

• Kitodo.Production 3.9.2 release github.com
• GitHub Security Advisory GHSA-mff2-fpqj-jg4q github.com
• Kitodo.Production 3.9.4 release github.com
• OSV CVE-2026-54668 (Vulners) vulners.com
• VulDB entry 425986 vuldb.com
• Strix CVE record www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:25.