soapbar: Authentifizierungsumgehung in verify_envelope_bsp durch selbst gelieferte Zertifikate

Zusammenfassung

soapbar, eine Python-SOAP-Bibliothek, vertraut in Versionen vor 0.13.0 bei verify_envelope_bsp() dem im Nachrichtenkopf eingebetteten X.509-Zertifikat. Die Funktion prüft nur die Gültigkeitsdaten dieses Zertifikats und verifiziert die Signatur gegen dasselbe Zertifikat, ohne CA-Kettenprüfung, Allowlist oder Pinning. Ein nicht authentifizierter Angreifer kann einen gefälschten SOAP-Envelope mit eigenem Zertifikat signieren, dieses einbetten und die Prüfung bestehen. Betroffen sind Anwendungen, die ein erfolgreiches BSP-Ergebnis als Identitätsnachweis werten; verify_envelope() mit einem vom Aufrufer gepinnten Zertifikat ist nicht betroffen.

Betroffen

• soapbar-Versionen vor 0.13.0 (CVE-Eintrag: betroffen < 0.13.0)
• Nur Code, der verify_envelope_bsp() aufruft und dessen Ergebnis zur Authentifizierung verwendet, ist exponiert

Behoben in

• Behoben in soapbar 0.13.0 (veröffentlicht am 03.07.2026)
• Die neueste Version des Herstellers zum Zeitpunkt der Recherche war 0.20.4

Umgehung

• Der Hersteller dokumentiert keinen Workaround.
• Übergangslösung für ungepatchten Code: verify_envelope_bsp() nicht als Authentifizierungsentscheid verwenden und nach Test auf verify_envelope() mit gepinntem Zertifikat umstellen. verify_cert_trust=False nicht aktivieren, da dies das unsichere Verhalten wiederherstellt.

Ausnutzung

• Nicht bekannt, ob die Lücke aktiv ausgenutzt wird.
• Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
• Die Schwachstelle erfordert keine Berechtigungen und keine Benutzerinteraktion (CVSS 3.1 8.2, AV:N/AC:L/PR:N/UI:N).

Unsere Empfehlung

• Alle Python-Dienste und Clients sowie die gepinnten soapbar-Versionen erfassen, zum Beispiel in Requirements-Dateien oder einer Software-Stückliste (SBOM).
• Auf soapbar 0.13.0 oder neuer aktualisieren; die aktuelle Linie 0.20.x ist vorzuziehen, die Kompatibilität ist jedoch vorher zu testen.
• Code prüfen, der verify_envelope_bsp() zur Authentifizierung nutzt, und den erwarteten Signierer-Zertifikat pinnen oder eine vertrauenswürdige CA verwenden.
• Aus dem Internet erreichbare SOAP-Endpunkte mit WS-Security und BinarySecurityToken priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub pull request #71 (fix) github.com
• soapbar release v0.13.0 github.com
• GHSA-859w-52fx-hcm6 security advisory github.com
• OffSeq threat radar: CVE-2026-64855 radar.offseq.com
• soapbar 0.20.4 on PyPI pypi.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:21.