CVE-2026-92899

Beschreibung

Apache WSS4J erinnert sich an die Nonce jedes von ihm akzeptierten UsernameTokens, so dass ein erfasstes Token nicht wiederverwendet werden kann. Es speicherte die Nonce als rohen Base64-Text, aber die Authentifizierung dekodiert diesen Text und verwendet die Bytes. Die gleichen Bytes können auf verschiedene Weise als base64 geschrieben werden. Ein angreifer, der eine authentifizierte anfrage erfasste, konnte sie mit einem platz erneut senden, der dem nonce hinzugefügt wurde der passwortverdau wurde immer noch verifiziert, aber das token stimmte nicht mehr mit dem erinnerten überein, so dass die wiederholung akzeptiert wurde. Da ein UsernameToken den Nachrichtentext nicht abdeckt, könnte der erfasste Token auf Wunsch des Angreifers wiederverwendet werden, bis er abgelaufen ist. Beeinflusst Bereitstellungen mit einem Nonce-Replay-Cache, der standardmäßig als Apache CXF konfiguriert ist, und nur Token mit einem Passwort-Digest. Der Cache wird nun auf dem decodierten Nonce eingegeben. Benutzern wird empfohlen, auf die Versionen 4.0.2 oder 3.0.6 oder 2.4.4 zu aktualisieren, die dieses Problem beheben.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation wss4j.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.