Refitter: Codeinjektion über OpenAPI-Content-Type-Schlüssel in generierten Refit-Clients
Zusammenfassung
Refitter, ein Werkzeug zur Generierung von C#-REST-API-Clients für die Refit-Bibliothek aus OpenAPI-Beschreibungen, escaped Content-Type-Schlüssel aus der Spezifikation nicht. Ein präparierter Content-Type-Schlüssel in einer durch einen Angreifer beeinflussten OpenAPI-Beschreibung bricht aus dem generierten Attribut-String aus und kann eine Klasse auf oberster Ebene mit einer ModuleInitializer-Methode einschleusen. Dieser Code läuft beim Laden der generierten Assembly beim Start der Anwendung, auch wenn der Client nie aufgerufen wird. Der Angriff setzt voraus, dass ein Entwickler oder eine Pipeline Code aus der manipulierten Spezifikation generiert und ein Benutzer mit dem Prozess interagiert.
Betroffen
- Refitter-Versionen vor 2.1.2
- Refitter.MSBuild: ebenfalls auf die passende Version aktualisieren
Behoben in
- Refitter 2.1.2 (veröffentlicht am 29. Juli 2026 gemäss Changelog des Projekts)
- Spätere Releases wurden nicht geprüft; nach Prüfung die neueste stabile Version verwenden
Umgehung
Unbekannt.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; kein Eintrag im CISA-KEV-Katalog zum Zeitpunkt der Recherche.
- Ein öffentlicher Proof of Concept ist nicht bestätigt.
- EPSS: 0.35 % (Perzentil 29).
Unsere Empfehlung
- Refitter und Refitter.MSBuild auf 2.1.2 oder neuer aktualisieren.
- Clients nur aus Spezifikationen generieren, die Sie kontrollieren oder geprüft haben; Spezifikationen von Drittanbietern und Partnern als nicht vertrauenswürdig behandeln.
- Generierte .cs-Dateien vor dem Kompilieren auf unerwartete Klassen auf oberster Ebene oder ModuleInitializer-Attribute prüfen.
- Codegenerierung in der CI ohne Zugriff auf Geheimnisse ausführen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Refitter 2.1.2 release github.com
- GitHub security advisory GHSA-p32v-8v8j-j534 github.com
- Fix commit ab4d8e4 github.com
- Pull request #1178 github.com
- Refitter changelog github.com
- VulDB entry CVE-2026-63344 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:42.
Referenzen der NVD (7)
- https://github.com/christianhelle/refitter/commit/ab4d8e439d6f0ee82ad49ee15323978d70fe5a67
- https://github.com/christianhelle/refitter/pull/1178
- https://github.com/christianhelle/refitter/releases/tag/2.1.2
- https://github.com/christianhelle/refitter/security/advisories/GHSA-p32v-8v8j-j534
- https://github.com/user-attachments/files/29394848/reproduce.sh
- https://github.com/user-attachments/files/29394851/maintainer-report.txt
- https://github.com/user-attachments/files/29394853/make_spec.py
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.