Eclipse jaxb-ri: XML External Entity (XXE) ermöglicht Lesen lokaler Dateien
Zusammenfassung
Die JAXB-Implementierung Eclipse jaxb-ri (core) verliess sich allein auf FEATURE_SECURE_PROCESSING, um die Auflösung von XML External Entities (XXE) zu verhindern. Auf einigen JAXP-Implementierungen blockiert dieses Feature externe Entities nicht. Ein Angreifer, der unvertrauenswürdiges XML über JAXB unmarshallen lassen kann, kann über Out-of-Band-XXE lokale Dateien auf dem Server lesen. Die CVE-Daten nennen einen CVSS-4.0-Basiswert von 8.3 (hoch), und der CNA stuft die Ausnutzung als keine ein.
Betroffen
- jaxb-ri (core) 4.0.4 und 4.0.9 laut CVE-Eintrag
- Der genaue betroffene Bereich ist unbekannt; Versionen dazwischen sind nicht bestätigt.
- Der CNA hält fest, dass 4.0.9 in der Standardkonfiguration nicht betroffen ist.
Behoben in
Unbekannt. Der Upstream-Pull-Request #2013 wurde am 8. September 2026 zusammengeführt, aber es ist keine Version mit dem Fix bestätigt.
Umgehung
- Im CVE-Eintrag ist keine Lösung oder Workaround angegeben.
- Sich nicht allein auf FEATURE_SECURE_PROCESSING verlassen; wo möglich zusätzlich DOCTYPE-Deklarationen in XML-Parsern deaktivieren.
- Ausgehende Verbindungen von Java-Diensten einschränken, da Out-of-Band-XXE voraussetzt, dass der Server einen externen Host erreicht.
Ausnutzung
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
Unsere Empfehlung
- Java-Anwendungen und Produkte inventarisieren, die jaxb-ri enthalten, oft als transitive Abhängigkeit.
- Herstellerhinweise und jaxb-ri-Releases auf eine korrigierte Version prüfen und sobald verfügbar aktualisieren.
- Bis dahin die Workarounds anwenden und Logs auf ungewöhnliche ausgehende Anfragen von Java-Diensten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Eclipse CVE work item 310 gitlab.eclipse.org
- jaxb-ri pull request 2013 github.com
- OSV entry CVE-2026-92877 osv.dev
- OpenCVE entry CVE-2026-92877 app.opencve.io
- VulDB entry 416950 vuldb.com
- OWASP XML External Entity Prevention Cheat Sheet cheatsheetseries.owasp.org
- Oracle Java API for XML Processing security guide docs.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.