„`html
Zusammenfassung
CVE-2026-65583 ist eine kritische Sicherheitslücke in Apache CXF mit einem CVSS-Score von 9.1. Die Vulnerability betrifft die OpenID Connect (OIDC) Relying-Party-Token-Validierung und ermöglicht einen Authentication Bypass durch unzureichende Claim-Validierung selbstausgestellter ID-Token.
Betroffene Systeme
Die SicherheitslĂĽcke betrifft Apache CXF Versionen vor:
- 4.2.3
- 4.1.8
- 3.6.12
Der Angriffsvektor wird ĂĽber das Netzwerk ausgenutzt und erfordert keine lokalen Privilegien.
Technische Details
Die Vulnerability liegt in der fehlerhaften Validierung von Self-Issued ID-Token innerhalb des OIDC Relying-Party-Validators. Angreifer können speziell präparierte Token erstellen, die erforderliche Claim-Überprüfungen umgehen:
- Issuer-Validierung: Unzureichende ĂśberprĂĽfung des Token-Ausstellers
- Subject-Claim: Mangelnde Validierung der Subject-Identität
- Audience-Claim: Fehlende Zielgruppen-Validierung
- Zeit-Claims: Unzureichende ĂśberprĂĽfung von Expiration und Not-Before
- Sub_JWK-Binding: Fehlende Bindung zwischen Subject und JWK
Wichtig: Self-Issued ID-Token werden standardmäßig NICHT akzeptiert, was das Exploitationsrisiko begrenzt. Systeme, die diese Funktionalität explizit aktiviert haben, sind jedoch gefährdet.
Empfohlene Massnahmen
Sofortmassnahmen:
- Upgrade auf Apache CXF 4.2.3, 4.1.8 oder 3.6.12 durchfĂĽhren
- Verifikation, ob Self-Issued Token in der OIDC-Konfiguration aktiviert sind
- Netzwerk-Segmentierung fĂĽr OIDC-Validierungsdienste implementieren
- Monitoring von unerwarteten Token-Validierungsfehlern aktivieren
Bewertung
Mit einem CVSS-Score von 9.1 ist dies eine kritische Sicherheitslücke. Das Ausnutzungspotential ist jedoch auf Systeme mit aktivierter Self-Issued-Token-Unterstützung begrenzt. Organisationen sollten prioritär upgraden und ihre OIDC-Konfiguration überprüfen.
„`