CVE-2026-108039
Beschreibung
Standardmäßig hat StaxUtils die Gesamtzahl der Elemente oder die Gesamtzahl der Zeichen in einem XML-Dokument nicht begrenzt. Eine sehr große Anfrage könnte daher während des Parsens viel Speicher und CPU benötigen, insbesondere wenn CXF ein DOM aus dem Eingang erstellt (z. B. SAAJ oder WS-Security) und eine Denial-of-Service-Verweigerung verursachen, wenn keine Anforderungsgrößenbegrenzung konfiguriert wurde. Beide Limits haben jetzt Standardwerte: Die maximale Elementzahl beträgt 100 × maxChildElements (5.000.000 standardmäßig), und die maximale Dokumentgröße beträgt 256M Zeichen. Anwendungen, die größere Dokumente verarbeiten, können die Grenzen mit den Eigenschaften org.apache.cxf.stax.maxElementCount und org.apache.cxf.stax.maxXMLCharacters erhöhen. Benutzern wird empfohlen, auf die Versionen 4.2.4 oder 4.1.9 oder 3.6.13 zu aktualisieren, die dieses Problem beheben.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Apache Software Foundation cxf.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.