LiteSpeed Web Server: Unzureichende Validierung interner Weiterleitungs-URLs

Zusammenfassung

LiteSpeed Web Server (LSWS) vor 6.3.7 Build 1 validiert interne Weiterleitungs-URLs in einem bestimmten Sonderfall nicht korrekt. Der CVE-Eintrag beschreibt weder den genauen Auslöser noch die Auswirkung, und die CWE-Einstufung (CWE-174, doppelte Dekodierung) ist vorläufig. Gemäss CVSS-4.0-Vektor könnte ein Angreifer mit niedrigen Berechtigungen über das Netzwerk mit geringer Komplexität und ohne Benutzerinteraktion Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. CISA SSVC bewertet die technische Auswirkung als total und die Automatisierbarkeit als nein.

Betroffen

• LiteSpeed Web Server (LSWS) Versionen 0 bis vor 6.3.7 Build 1
• OpenLiteSpeed: keine Aussage in den Quellen gefunden
• Hosting-Umgebungen mit LSWS und Kundenkonten sind der relevanteste Kontext

Behoben in

• Behoben in LSWS 6.3.7 Build 1
• Das Herstellerchangelog führt spätere 6.3.7-Builds auf (aktueller oberster Eintrag: Build 7, veröffentlicht am 29. Oktober 2026); den neuesten Build verwenden

Umgehung

• Kein vom Hersteller bestätigter Workaround gefunden
• Ein Update ist die einzige dokumentierte Massnahme

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog
• Öffentliche Proof-of-Concept-Angaben widersprechen sich und sind nicht verifiziert
• Es ist davon auszugehen, dass ein PoC existieren könnte, da die Schwachstelle öffentlich gemacht wurde

Unsere Empfehlung

• Alle LSWS-Systeme inventarisieren, insbesondere internetexponierte und Shared-Hosting-Systeme
• Auf den neuesten LSWS-6.3.7-Build aktualisieren (nicht nur Build 1), z. B. mit /usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7
• Den installierten Build nach dem Update mit cat lsws/BUILD prüfen
• Webserver-Logs bis zur Behebung auf ungewöhnliche Weiterleitungs- oder Request-Routing-Vorgänge überwachen
• WebAdmin deaktiviert lassen, sofern es nicht benötigt wird

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Tautvydas-Aleliunas/CVE-2026-93903

Quellen der Recherche

• LiteSpeed changelog docs.litespeedtech.com
• LiteSpeed release log www.litespeedtech.com
• Researcher advisory (GitHub) github.com
• GitHub Advisory GHSA-8x5w-4247-99g6 github.com
• OffSeq threat radar radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:22.