„`html
Zusammenfassung
CVE-2026-50623 beschreibt eine Authentication Bypass Vulnerability in der OAuth2 TokenIntrospectionService-Komponente von Apache CXF. Die Schwachstelle ermöglicht es unauthentifizierten Netzwerkattackern, auf den Introspection-Endpoint zuzugreifen, sofern auf diesem keine zusätzliche Authentifizierung konfiguriert wurde. Der Schweregrad wird mit CVSS 6.5 (Medium) eingestuft.
Betroffene Systeme
Betroffen sind folgende Apache CXF Versionen:
- Apache CXF vor Version 4.1.7
- Apache CXF vor Version 4.2.2
Der Angriffsvektor ist netzwerkbasiert (CVSS Vector: Network), eine lokale Präsenz ist nicht erforderlich.
Technische Details
Die Vulnerability liegt in der fehlerhaften Implementierung der Sicherheitskontrolle im OAuth2 TokenIntrospectionService. Konkret fehlt ein ‚throw‘-Schlüsselwort in der Security Context Ãœberprüfung des Introspection-Endpoints (/services/oauth2/introspect).
Durch diesen Implementierungsfehler wird bei einer fehlgeschlagenen Authentifizierungsprüfung keine Exception geworfen. Die Verarbeitung setzt sich fort, wodurch der Introspection-Endpoint für unauthentifizierte Anfragen erreichbar wird.
Wichtig: Dies ist eine sekundäre Sicherheitsmassnahme. Das Risiko ist erhöht, wenn auf dem OAuth2-Service selbst keine Authentifizierung aktiviert wurde.
Empfohlene Massnahmen
- Sofortmassnahmen: Aktualisierung auf Apache CXF 4.1.7 oder 4.2.2 durchführen
- Prävention: Authentifizierung auf der TokenIntrospection-Service-Ebene explizit aktivieren und konfigurieren
- Netzwerk: Zugriff auf
/services/oauth2/introspectdurch WAF oder Netzwerk-ACLs einschränken - Monitoring: Anomale Zugriffe auf OAuth2-Endpoints überwachen
Bewertung
CVSS 6.5 (Medium) – Die Schwachstelle ermöglicht unbefugten Datenzugriff auf OAuth2-Token-Informationen, erfordert jedoch bereits eine fehlende Sicherheitskonfiguration als Vorbedingung. Ein Patch ist verfügbar.
„`