Apache CXF: Wirkungslose max_age-Prüfung im OIDC-Relying-Party-Filter
Zusammenfassung
Die max_age-Prüfung zur Aktualität der Authentifizierung im OidcClientCodeRequestFilter von Apache CXF funktioniert nicht. Ursache sind eine Verwechslung von Millisekunden und Sekunden sowie ein invertierter Vergleich. Anwendungen, die setMaxAgeOffset zur erzwungenen Neuauthentifizierung nutzen, akzeptieren Sitzungen beliebigen Alters stillschweigend, wodurch Step-up-Authentifizierungsrichtlinien umgangen werden können. Voraussetzung ist eine Anwendung, die auf diese Prüfung vertraut, sowie eine veraltete Sitzung oder ein veraltetes Token, das eigentlich abgelehnt werden müsste.
Betroffen
- Apache CXF 4.2.0 bis vor 4.2.4 (org.apache.cxf:cxf-rt-rs-security-sso-oidc)
- Apache CXF 4.0.0 bis vor 4.1.9
- Apache CXF vor 3.6.13 (Standardkonfiguration nicht betroffen)
Behoben in
- Apache CXF 4.2.4
- Apache CXF 4.1.9
- Apache CXF 3.6.13
Umgehung
Unbekannt. Der Hersteller veröffentlicht keine Workaround; das Aktualisieren ist die Behebung.
Ausnutzung
- In den geprüften Quellen wird keine Ausnutzung gemeldet.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- Kein öffentlicher Proof of Concept gefunden; der Fix-Commit ist öffentlich.
Unsere Empfehlung
- Prüfen, ob Anwendungen oder Abhängigkeitsbäume cxf-rt-rs-security-sso-oidc enthalten und in welcher Version.
- Auf 4.2.4, 4.1.9 oder 3.6.13 oder neuer aktualisieren.
- Wo max_age für Step-up-Anmeldungen genutzt wird, nach der Aktualisierung testen, ob die Neuauthentifizierung erzwungen wird.
- Internetseitig erreichbare OIDC-Anmeldeportale priorisieren.
- Für 3.4.x und 3.5.x ist kein Apache-Fix bekannt; deren Status ist unbekannt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- oss-security post CVE-2026-71575 www.openwall.com
- Apache mailing list thread lists.apache.org
- Apache CXF security advisories cxf.apache.org
- Fix commit pull request #3357 github.com
- Apache CXF commit message 69101 mail-archive.com
- Apache CXF advisory commit message 70473 mail-archive.com
- HeroDevs vulnerability directory www.herodevs.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.