OWASP Core Rule Set: WAF-Umgehung über XML-Attributwerte

Zusammenfassung

Die Angriffserkennungsregeln des OWASP Core Rule Set (CRS) prüfen in mehreren Familien nur den Text von XML-Elementen, nicht aber XML-Attributwerte. Ein Angreifer kann Angriffsnutzlasten wie SQL-Injection oder XSS in XML-Attribute eines Request-Bodys einbetten und die Erkennung in einer Web Application Firewall umgehen, die diese Regeln verwendet, und zwar auf allen Paranoia-Levels. Die CRS-Maintainer haben die Umgehung in einer lokalen Testinstanz und in der öffentlichen CRS-Sandbox verifiziert. Die Schwachstelle liegt in der WAF-Regelsammlung und nicht in der geschützten Anwendung selbst.

Betroffen

• CRS-Versionen vor 3.3.10, vor 4.25.1 und vor 4.28.0, gemäss CVE-Eintrag
• Betroffene Regelfamilien: 921, 930, 931, 932, 933, 934, 941, 942 und 943 (rund 159 Regeln); die Familie 944 ist nicht betroffen

Behoben in

• 4.28.0 (Hauptzweig)
• 4.25.1 (v4 LTS)
• 3.3.10 (v3 LTS, End of Life)

Umgehung

• Auf den LTS-Zweigen 4.25.1 und 3.3.10 ist der Fix hinter einer Opt-in-Einstellung aktiviert: Die SecAction, die tx.crs_xml_attr_inspect=1 setzt, in crs-setup.conf aktivieren
• Nach dem Update prüfen, ob die Einstellung aktiv ist, da ein offenes CRS-Issue meldet, dass der LTS-Standard den Fix möglicherweise nicht vollständig aktiviert
• Unbekannt: Es ist kein weiterer Workaround dokumentiert

Ausnutzung

Unbekannt. Die Forscher haben die Umgehung mit Proof-of-Concept-Nutzlasten verifiziert, in den Quellen wird jedoch keine aktive Ausnutzung gemeldet.

Unsere Empfehlung

• CRS auf 4.28.0 oder das aktuelle 4.x-Release beziehungsweise auf die LTS-Linie 4.25.x aktualisieren; 3.3.x nicht mehr verwenden, da End of Life
• Auf LTS-Zweigen die Opt-in-Einstellung für die XML-Attributprüfung aktivieren und deren Aktivierung kontrollieren
• Prüfen, ob eine WAF CRS einsetzt und welche Version installiert ist
• WAF-Logs auf verdächtige Nutzlasten in XML-Attributen überwachen und die Regeln nach dem Update testen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-6jp8-c2w2-x7wr github.com
• CRS release announcement 4.28.0, 4.25.1 LTS and 3.3.10 coreruleset.org
• Fix commit 275d761 (REQUEST rules) github.com
• Commit 635cecf (LTS opt-in setting and tests) github.com
• CVE record CVE-2026-62971 www.cve.org
• Open CRS issue #4934 (LTS default) github.com
• CRS security policy github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:26.