esaml: Unbegrenzte Atom-Erstellung über unsignierte LogoutResponse führt zum Absturz des Knotens

Zusammenfassung

Die Erlang-SAML-Bibliothek esaml erzeugt für jeden unbekannten, unterschiedlichen StatusCode-Wert in einer unsignierten SAML-LogoutResponse am Single-Logout-Endpunkt ein neues Atom. Erlang-Atome werden nie freigegeben, daher kann ein nicht authentifizierter Angreifer mit rund einer Million verschiedener Werte die Atom-Tabelle erschöpfen und die Erlang-VM zum Absturz bringen. Betroffen ist der Single-Logout-Pfad von Anwendungen mit esaml ab Version 0.1.0, der Assertion-Consumer-Pfad ist nicht betroffen.

Betroffen

• esaml ab Version 0.1.0 (Hex-Paket)
• Git-basierte Versionen ab Commit be692b5 (Repositories von dropbox, arekinath und handnot2)
• Nachgelagerte Anwendungen, die den Single-Logout-Endpunkt bereitstellen, z. B. über esaml_cowboy:validate_logout/2

Behoben in

• Fix-Commit: be692b56245071899757afa7ef47e43593d3de96 (Upstream-Repositories von esaml)
• Korrigierte Version: Unbekannt. Es ist keine Version mit dem Fix bestätigt.

Umgehung

• Vom Hersteller wurde kein Workaround veröffentlicht.
• Den Single-Logout-Endpunkt deaktivieren, falls der Identity Provider ihn nicht benötigt.
• Falls SLO erforderlich ist, den Endpunkt am Reverse Proxy oder WAF auf die Adressen des Identity Providers beschränken und Rate Limiting einsetzen.
• Die Anzahl der BEAM-Atome überwachen, um Wachstum früh zu erkennen. Eine Erhöhung des Atom-Limits verzögert die Erschöpfung nur.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof of Concept gefunden.
• CISA-SSVC-Bewertung: Exploitation PoC, nicht automatisierbar, partielle technische Auswirkung.

Unsere Empfehlung

• Prüfen, ob die Anwendung esaml verwendet und einen Single-Logout-Endpunkt bereitstellt.
• Falls betroffen, Commit be692b5 in der eigenen Kopie anwenden und in einer Nicht-Produktionsumgebung testen, da keine korrigierte Version bestätigt ist.
• Dieselbe Prüfung für die verwandte CVE-2026-105270 (SAMLResponse-Pfad) durchführen, für die ebenfalls kein bestätigter Fix vorliegt.
• Den SLO-Endpunkt bis zur Behebung einschränken oder deaktivieren und den Knoten auf Atom-Wachstum und Neustarts überwachen.
• Das Upstream-Projekt wird nur noch schwach gepflegt, daher einen eigenen Patch einplanen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record (CNA EEF) cna.erlef.org
• OSV record EEF-CVE-2026-86696 osv.dev
• Fix commit be692b5 (dropbox/esaml) github.com
• Fix commit be692b5 (arekinath/esaml) github.com
• VulDB CVE-2026-86696 vuldb.com
• CVE-2026-105270 (related) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:13.