BSI-Warnung: Schwachstellen in Shibboleth Identity Provider

Tier C · Im Auge behalten – Prüfen, ob du betroffen bist

Wer betroffen ist: Betreiber von Shibboleth Identity Provider Installationen

Tier C, weil: Trifft Tech-Teams

Reichweite

Angriff

Schaden

Fix

Verbreitetes Werkzeug

Kurz gesagt

Das BSI hat die Schwachstelle WID-SEC-2026-4449 im Shibboleth Identity Provider als mittel eingestuft.
Ein entfernter Angreifer kann die Lücke ausnutzen, um Dateien zu manipulieren oder einen Cross-Site-Scripting-Angriff durchzuführen.
Die Warnung nennt keine CVE-Nummer, keinen CVSS-Wert und keine konkrete Patch-Version.

Warum es wichtig ist

Shibboleth Identity Provider dient der zentralen Anmeldung in Hochschulen, Behörden und Unternehmen. Betreiber sollten prüfen, ob ihre Installation betroffen ist, und auf eine Korrektur achten.

Die Checkliste hinter dem Tier

Checkliste · 2 von 10 mit Ja

Ja	Trifft Tech-Teams	Begründung: Shibboleth Identity Provider ist SSO-Software, die IT-Teams von Hochschulen und Unternehmen betreiben.
Nein	Kerninfrastruktur	Begründung: Ein einzelnes Produkt, keine Software, die nahezu jedes Team betreibt.
Ja	Verbreitetes Werkzeug	Begründung: Shibboleth ist im Hochschul- und Forschungsumfeld weit verbreitet.
Nein	Wird ausgenutzt	BSI WID: Nennt keine beobachteten Angriffe, nur die Schwachstelle selbst.
Nein	Exploit öffentlich	BSI WID: Erwähnt keinen veröffentlichten Exploit oder Proof of Concept.
Nein	Aus der Ferne, ohne Login	BSI WID: Angreifer ist entfernt, Authentifizierung wird aber nicht genannt.
Nein	Volle Übernahme	BSI WID: Cross-Site Scripting und Dateimanipulation, keine Codeausführung oder Admin-Rechte genannt.
Nein	Geheimnisse offengelegt	BSI WID: Keine Angaben zu gestohlenen Zugangsdaten oder offengelegten Daten.
Nein	Lieferkette	BSI WID: Keine Kompromittierung eines Pakets, Updates oder Build-Prozesses genannt.
Nein	Noch kein Fix	BSI WID: Keine Angaben zu einem verfügbaren Update oder Patch.

Zeitleiste

10. Nov.
BSI veröffentlicht Sicherheitswarnung WID-SEC-2026-4449
10. Nov. · 13:12
BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories)
[NEU] [mittel] Shibboleth Identity Provider: Schwachstelle ermöglicht Cross-Site Scripting

Quelle

[NEU] [mittel] Shibboleth Identity Provider: Schwachstelle ermöglicht Cross-Site Scripting ↗ BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories) · vor 3 Std.

Zuerst gesehen vor 3 Std. · 1 Quelle · Zur ganzen Meldung · Wie Tiers entschieden werden