CVE-2026-107938
Beschreibung
In Apache CXF hat der Netty-basierte HTTP-Client-Transport (cxf-rt-transports-http-netty-client) nicht überprüft, ob der Hostname im TLS-Zertifikat des Servers mit dem aufgerufenen Host übereinstimmt. Dies galt sowohl für HTTP/1.1 als auch für HTTP/2, auch wenn CNCheck beim Standardwert von false deaktiviert wurde. Die Zertifikatskette wurde anhand des konfigurierten Vertrauensspeichers validiert, die Identität des Endpunkts jedoch nicht. Ein Netzwerk-Angreifer, der in der Lage ist, den Datenverkehr abzufangen, könnte ein beliebiges Zertifikat präsentieren, dem der Client vertraut, z. B. ein öffentlich ausgestelltes Zertifikat für eine von ihm kontrollierte Domäne, und sich als Zieldienst ausgeben. Sie könnten dann die ausgetauschten Nachrichten, einschließlich Anmeldeinformationen, lesen oder ändern. Benutzern wird empfohlen, auf die Versionen 4.2.4 oder 4.1.9 oder 3.6.13 zu aktualisieren, die dieses Problem beheben.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Apache Software Foundation cxf.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.