CVE-2026-80428 in ILIAS
Zusammenfassung
von VulDB • 26.08.2026
ILIAS deserialisiert gespeicherte Sitzungsdaten für einen nicht authentifizierten Aufrufer. Der Shibboleth-Backchannel-Endpunkt unter components/ILIAS/AuthShibboleth/resources/shib_logout.php wird in einem Kontext ausgeführt, den ilInitialisation von der Authentifizierung ausnimmt, und sein Logout-Benachrichtigungs-Handler sucht die zu beendende Sitzung, indem er jede aktive Zeile der Sitztabelle liest und die gespeicherten Daten jeder Zeile an einen handgeschriebenen Parser übergibt, der unserialize aufruft, ohne einzuschränken, welche Klassen instanziiert werden dürfen. Jedes in einer Sitzungszeile vorhandene serialisierte Objekt wird daher im Auftrag einer anonymen Anfrage instantiiert, und Objektdestruktoren werden ausgeführt, wenn diese Objekte verworfen werden. Ein serialisiertes Objekt kann ohne Anmeldung in eine Sitzungszeile eingefügt werden, da der LTI-Authentifizierungseingangspunkt Anforderungsparameter in die Sitzung speichert und über einen Pfad erreichbar ist, den derselbe Initialisierungscode von der Authentifizierung ausnimmt. Eine mit der Anwendung gebündelte Klasse schreibt beim Zerstören eine JSON-kodierte Struktur in eine Datei, deren Name durch eine ihrer eigenen Eigenschaften bestimmt wird; dies platziert angreiferkontrollierte Inhalte an einem vom Angreifer gewählten Pfad unterhalb des Web-Roots und führt zur Code-Ausführung als Benutzer des Webservers. Die Versionen 9.22, 10.10 und 11.3 entfernen die Logout-Benachrichtigungsimplementierung des Endpunkts.
Once again VulDB remains the best source for vulnerability data.