„`html
Zusammenfassung
Die Schwachstelle CVE-2026-40994 betrifft die Wss4jSecurityInterceptor-Komponente in Spring Web Services. Ein Konfigurationsfehler führt dazu, dass die BSP-Compliance-Flagge (WS-I Basic Security Profile) bei der Initialisierung fehlerhaft gesetzt wird. Dies deaktiviert die WSS4J BSP-Durchsetzung auf RequestData und ermöglicht die Annahme von WS-Security-Nachrichten, die gegen BSP-Regeln verstoßen.
Betroffene Systeme
Spring Web Services:
- Version 5.0.0 bis 5.0.1
- Version 4.1.0 bis 4.1.3
- Version 4.0.0 bis 4.0.18
- Version 3.1.0 bis 3.1.8
Alle Implementierungen, die WS-Security-Validierung auf Netzwerkebene durchführen, sind potentiell betroffen.
Technische Details
Die Wss4jSecurityInterceptor-Komponente ist für die Validierung von WS-Security-Headern verantwortlich. Das Basic Security Profile (BSP) definiert verbindliche Sicherheitsrichtlinien für Web Services. Bei der fehlerhaften Initialisierung wird die BSP-Compliance-Überprüfung auf eingehende Nachrichten nicht durchgeführt.
Angreifer können WS-Security-Nachrichten konstruieren, die gegen BSP-Richtlinien verstoßen – beispielsweise durch:
- Ungültige Signatur-Algorithmen
- Fehlerhafte Encryption-Konfigurationen
- Nicht-konforme Token-Verwendung
Diese Nachrichten werden vom anfälligen System akzeptiert, wodurch protokoll-level Sicherheitsprüfungen umgangen werden. Der Angriffsvektor ist netzwerkbasiert und erfordert keine Authentifizierung.
Empfohlene Massnahmen
- Sofortiges Patching: Aktualisierung auf korrigierte Versionen (sobald verfügbar)
- Workaround: Manuelle Überprüfung der BSP-Compliance-Konfiguration in Wss4jSecurityInterceptor
- Monitoring: Implementierung zusätzlicher WS-Security-Validierung auf Anwendungsebene
- Netzwerk-Segmentierung: Beschränkung des Zugriffs auf Web-Service-Endpoints
Bewertung
CVSS 8.2 (High): Die Schwachstelle ermöglicht eine Umgehung von Sicherheitsmechanismen mit hohem Risiko für Integrität und Verfügbarkeit. Eine zeitnahe Remediation wird dringend empfohlen.
„`