esaml: Unbegrenzte Dekomprimierung von SAML-Nachrichten führt zu Speichererschöpfung
Zusammenfassung
Die Erlang-SAML-Bibliothek esaml, die als SAML Service Provider eingesetzt wird, dekomprimiert vom Angreifer gelieferte SAMLResponse-Daten ohne jede Grösse-Beschränkung. Nicht authentifizierte Anfragen an die SAML-Consume- und Single-Logout-Endpunkte werden vor jeder Signaturprüfung verarbeitet. Eine kleine komprimierte Anfrage kann sich auf mehrere Gigabyte Speicher ausdehnen, daher können wenige Anfragen den Speicher erschöpfen, die Erlang-VM zum Absturz bringen und den Dienst für Benutzer unterbrechen.
Betroffen
- esaml (Hex-Paket) ab 0.1.0
- Git-basierte Repositories der esaml-Forks von dropbox, arekinath und handnot2 ab Commit deeb843
Behoben in
Unbekannt. Es wurde keine korrigierte Version identifiziert.
Umgehung
Unbekannt. Eine alleinige Begrenzung der Anfragegrösse reicht möglicherweise nicht aus, da ein kleiner komprimierter Body weit darüber hinaus expandieren kann.
Ausnutzung
- CISA SSVC: Proof of Concept verfügbar, automatisierbar: ja, technische Auswirkung: teilweise
- Der CNA-Eintrag beschreibt einen einfachen Proof of Concept mit einem präparierten Deflate-Stream
Unsere Empfehlung
- Prüfen Sie, ob esaml in Ihrem SAML Service Provider eingesetzt wird und welche Versionen im Einsatz sind
- Beschränken oder filtern Sie den Zugriff auf die SAML-Consume- und Single-Logout-Endpunkte, wo möglich
- Setzen Sie Speicherlimiten und überwachen Sie die Erlang-VM auf Speicherspitzen und Neustarts
- Verfolgen Sie den CNA-Eintrag und die Herstellerangaben auf eine offizielle Korrektur und spielen Sie diese ein, sobald sie verfügbar ist
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CNA record CVE-2026-93471 (ERLEF) cna.erlef.org
- OSV record EEF-CVE-2026-93471 osv.dev
- Commit deeb843 in dropbox/esaml github.com
- Commit deeb843 in arekinath/esaml github.com
- Commit deeb843 in handnot2/esaml github.com
- ServiceRadar issue 6052 (esaml status) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:54.
Referenzen der NVD (7)
- https://cna.erlef.org/cves/CVE-2026-93471.html
- https://github.com/arekinath/esaml/commit/deeb84378d5c82153b470e99d24f77c38afca14a
- https://github.com/dropbox/esaml/commit/deeb84378d5c82153b470e99d24f77c38afca14a
- https://github.com/handnot2/esaml/commit/deeb84378d5c82153b470e99d24f77c38afca14a
- https://osv.dev/vulnerability/EEF-CVE-2026-93471
- https://cna.erlef.org/cves/CVE-2026-93471.html
- https://osv.dev/vulnerability/EEF-CVE-2026-93471
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.