YAML-Injection
Definition
YAML-Injection manipuliert die Verarbeitung von YAML durch eingeschleuste Daten oder Strukturelemente.
Eine Schwachstellenklasse, bei der untrusted Daten YAML-Struktur oder Parserobjekte so beeinflussen, dass Regeln umgangen oder gefährliche Deserialisierung ausgelöst wird.
Einfach erklärt
Eine fremde Eingabe wird versehentlich als Teil der Konfiguration verstanden. So kann sie deren Aufbau oder Verarbeitung unerwünscht verändern.
Warum das im Alltag wichtig ist
Der Begriff trägt zu sicheren, wartbaren und leistungsfähigen Webanwendungen sowie belastbaren technischen Entscheidungen bei.
Beispiel aus dem Mittelstand
Ein Dienst nutzt Safe Loader, feste Schemas und getrennte Datenfelder statt YAML-Textverkettung.
Grenzen und Fallstricke
- String-Escaping allein reicht nicht; Tag-Auflösung, Aliaslimits und Bibliotheksmodus sind entscheidend.
Entstehung & Geschichte
Unsichere objektfähige Deserialisierung machte YAML-Parser in mehreren Sprachen zu einem Angriffsvektor.
Anwendung im Mittelstand
- Mögliche Anwendung: Ein Dienst nutzt Safe Loader, feste Schemas und getrennte Datenfelder statt YAML-Textverkettung.
Häufige Fragen
Was bedeutet YAML-Injection?
Eine Schwachstellenklasse, bei der untrusted Daten YAML-Struktur oder Parserobjekte so beeinflussen, dass Regeln umgangen oder gefährliche Deserialisierung ausgelöst wird. Worauf sollte man achten? String-Escaping allein reicht nicht; Tag-Auflösung, Aliaslimits und Bibliotheksmodus sind entscheidend.
Quellen
- Deserialization Cheat Sheet · OWASP, Deserialization Cheat Sheet
Quelle geprüft am 10.10.2026. Redaktionelle Anwendungsbeispiele sind hypothetisch; kein Nachweis realer Kundenergebnisse.
Redaktionell geprüft am: