🟠 CVE-2026-54225: High Luecke in Apache Cxf

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2026-54225 betrifft Apache CXF und ermöglicht Denial-of-Service (DoS)-Attacken durch unkontrollierte Attachment-Upload-Größen. Vor den Versionen 4.2.3, 4.1.8 und 3.6.12 existierte keine standardmäßige Größenbeschränkung für Dateianhänge, was Angreifern die Möglichkeit gibt, den Service durch massive Dateien zum Absturz zu bringen.

Betroffene Systeme

Folgende Apache CXF-Versionen sind betroffen:

• Apache CXF < 3.6.12
• Apache CXF < 4.1.8
• Apache CXF < 4.2.3

Das Webservices-Framework wird häufig in Enterprise-Anwendungen zur SOAP- und REST-Integration eingesetzt.

Technische Details

Apache CXF bietet die Konfigurationsoption „attachment-max-size“ zur Limitierung von Anhängegrößen. In den betroffenen Versionen fehlte jedoch ein Standardwert für diese Einstellung. Dies führt dazu, dass Systeme ohne explizite Konfiguration unbegrenzte Dateiuploads akzeptieren.

Ein Angreifer kann diese Schwachstelle ausnutzen, indem er extrem große SOAP-Attachments an den CXF-Service sendet. Dies verursacht excessive Speicherauslastung, CPU-Last und Netzwerkbelastung, wodurch der Service für legitime Benutzer nicht mehr erreichbar ist.

Der Angriffsvektor ist netzwerkbasiert und erfordert keine Authentifizierung.

Empfohlene Massnahmen

1. Sofortiges Update: Alle betroffenen Apache CXF-Installationen sollten auf die patched Versionen 4.2.3, 4.1.8 oder 3.6.12 aktualisiert werden.
2. Konfiguration: Explizite Festlegung der „attachment-max-size“-Parameter in der CXF-Konfiguration auf Werte unter 50 MB.
3. Monitoring: Überwachung von ungewöhnlich großen Attachment-Anfragen und DoS-Mustern implementieren.
4. Netzwerk-Level-Kontrollen: Web Application Firewalls (WAF) konfigurieren, um überdimensionierte Requests zu blockieren.

Bewertung

CVSS Score: 7.5 (High)

Die Schwachstelle wird als kritisch eingestuft, da sie ohne Authentifizierung ausgenutzt werden kann und unmittelbare Serviceausfallsicherheit gefährdet. Der verfügbare Patch und klare Konfigurationsrichtlinien ermöglichen jedoch eine effektive Risikominderung.

„`