„`html
Zusammenfassung
CVE-2026-65432 ist eine XXE-Schwachstelle (XML External Entity) in Apache CXF mit hohem Schweregrad (CVSS 7.5). Die Vulnerability ermöglicht es Angreifern, über importierte WSDL/XSD-Dateien externe XML-Entitäten zu injizieren und auszulesen. Die Schutzmaßnahmen der Hauptdatei erstrecken sich nicht auf referenzierte Import-Dokumente.
Betroffene Systeme
Apache CXF-Versionen vor:
- 4.2.3
- 4.1.8
- 3.6.12
Die Vulnerability betrifft alle Installationen, die WSDL-Import-Funktionalitäten nutzen.
Technische Details
Apache CXF verarbeitet WSDL-Dateien über zwei unterschiedliche Pfade: Der Hauptdokument-Parser nutzt StaxUtils mit gehärteten Sicherheitseinstellungen, die DTD-Deklarationen und externe Entitäten deaktivieren. Allerdings werden
Dies führt zu einer Sicherheitslücke: Ein Angreifer kann eine manipulierte WSDL-Datei bereitstellen, deren Import-Direktiven auf externe Entitäten verweisen. Beim Parsing durch WSDL4J werden Diese Entitäten aufgelöst, wodurch XXE-Angriffe möglich werden.
Potenzielle Angriffsszenarien:
- Dateioffenlegung durch DOCTYPE-basierte Entitätsinjektionen
- Denial-of-Service durch Billion-Laughs-Attacken
- Server-Side Request Forgery (SSRF) über externe Entitäten
Empfohlene Massnahmen
Sofortmassnahmen:
- Upgrade auf Apache CXF 4.2.3, 4.1.8 oder 3.6.12
- Eingehende WSDL-Quellen validieren und whitelisten
- Zugriff auf externe WSDL-Importe einschränken
Zusätzliche Sicherung:
- Web Application Firewall (WAF) fĂĽr WSDL/XML-Anfragen konfigurieren
- XXE-Präventionsmechanismen auf Systemebene implementieren
Bewertung
Mit CVSS 7.5 (High) und Netzwerk-Angriffsvektor stellt diese Vulnerability ein erhebliches Risiko dar. Die fehlende Konsistenz in der Entity-Verarbeitung zwischen Hauptdokument und Importen ist ein konzeptioneller Sicherheitsdefekt. Ein Patch ist verfügbar und sollte prioritär eingespielt werden.
„`