🟠 CVE-2026-50645: High Luecke in Apache Cxf

„`html

Zusammenfassung

CVE-2026-50645 beschreibt eine Schwachstelle in Apache CXF, die es Angreifern ermöglicht, durch unkontrollierte Deserialisierung von Nachrichtenanhängen Denial-of-Service (DoS)-Attacken durchzuführen. Die Vulnerabilität entsteht durch fehlende Beschränkungen bei der Verarbeitung von Attachment-Headern, was zu exzessiver Ressourcennutzung führt.

Betroffene Systeme

Apache CXF ist betroffen in folgenden Versionen:

• Apache CXF vor Version 4.2.2
• Apache CXF vor Version 4.1.7

Alle Systeme, die Apache CXF für SOAP- oder REST-Webservices mit Attachment-Verarbeitung nutzen, sind potentiell anfällig.

Technische Details

Die Schwachstelle liegt in der Deserialisierungslogik von Apache CXF für MTOM (Message Transmission Optimization Mechanism) und SwA (SOAP with Attachments). Bei der Verarbeitung eingehender Nachrichten werden Attachment-Header nicht limitiert. Ein Angreifer kann eine manipulierte Nachricht mit einer unbegrenzten Anzahl von Attachment-Headern senden, wodurch:

• Speicherressourcen unkontrolliert verbraucht werden
• CPU-Auslastung durch Parsing-Operationen ansteigt
• Der Service in einen nicht responsiven Zustand gerät

Der Angriffsvektor ist netzwerkbasiert und erfordert keine Authentifizierung.

Empfohlene Massnahmen

1. Sofortige Aktualisierung: Upgrade auf Apache CXF 4.2.2 oder 4.1.7 durchführen
2. Patch-Deployment: Patches zeitnah einspielen, da Patches verfügbar sind
3. Ressourcenlimits: Rate-Limiting und Connection-Timeouts implementieren
4. Monitoring: Abnormale Netzwerkaktivitäten und Speicherauslastung überwachen
5. WAF-Regeln: Web Application Firewall konfigurieren, um verdächtige Attachment-Header zu blockieren

Bewertung

CVSS Score: 7.5 (High)

Die Einstufung als „High“ ist gerechtfertigt durch hohe Verfügbarkeitskritikalität. Obwohl Datenverlust oder Datenverstäbnis nicht eintritt, können produktive Systeme lahm gelegt werden. Dank verfügbarer Patches ist das Risiko durch schnelle Remediation minimierbar.

„`