CVE-2026-86463

Beschreibung

Der FIQL-Abfrageparser von Apache CXF hat eine Schwachstelle in der Suche nach Operatoren in Abfrageausdrücken. Das Suchmuster kann beim Ausprobieren vieler Kombinationen stecken bleiben, wenn es auf einen langen String ohne Operator trifft, was dazu führt, dass der Parser übermäßige CPU-Zeit verbraucht. Ein Angreifer kann eine erstellte Abfrage senden, um den Server dazu zu bringen, CPU-Ressourcen zu verbrauchen, wodurch möglicherweise andere Anfragen verlangsamt oder gestoppt werden. Der Fix bestand darin, FIQL-Ausdrücke standardmäßig auf 4 KiB zu begrenzen, wodurch Angreifer daran gehindert wurden, extrem lange Eingaben zu senden, während normale Abfragen weiterhin erlaubt wurden. Benutzern wird empfohlen, auf die Versionen 4.2.4 oder 4.1.9 oder 3.6.13 zu aktualisieren, die dieses Problem beheben.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation cxf.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.