CVE-2026-97791
Beschreibung
In Apache CXF überprüft STSTokenValidator, ob eine SAML-Behauptung durch ein vertrauenswürdiges Zertifikat signiert ist, bevor er beschließt, sie an die STS zu senden. Dieses Ergebnis wurde in einem Objekt gespeichert, das von allen Anforderungen geteilt wurde, so dass eine Anforderung das Ergebnis einer anderen lesen konnte. Ein entfernter, nicht authentifizierter angreifer könnte eine gefälschte, mit einem nicht vertrauenswürdigen zertifikat signierte behauptung senden, während legitime anfragen bearbeitet wurden, und sie könnte als vertrauenswürdig akzeptiert werden, ohne jemals die sts zu erreichen. Betroffen sind nur Dienste, die STSTokenValidator verwenden, um SAML-Token ohne das Set AlwaysValidateToSts zu validieren. Benutzern wird empfohlen, auf die Versionen 4.2.4 oder 4.1.9 oder 3.6.13 zu aktualisieren, die dieses Problem beheben.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Apache Software Foundation cxf.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.