Apache CXF: Race Condition bei der Verarbeitung von OAuth2-Autorisierungscodes
Zusammenfassung
Der JPA-basierte OAuth2-Provider für den Autorisierungscode-Grant von Apache CXF prüft und löscht einen Autorisierungscode in zwei nicht atomaren Schritten. Ein entfernter Angreifer, der bereits einen gültigen Autorisierungscode besitzt, kann parallele Token-Austauschanfragen senden und so mehrere gültige Access Tokens aus diesem einen Code erhalten. Die Ausnutzung setzt einen gültigen Code, präzises Timing und eine Installation voraus, die diesen Provider mit einer gemeinsam genutzten relationalen Datenbank unter der Isolationsstufe READ_COMMITTED verwendet.
Betroffen
- Apache CXF (org.apache.cxf:cxf-rt-rs-security-oauth2) 4.2.0 bis vor 4.2.4
- Apache CXF (org.apache.cxf:cxf-rt-rs-security-oauth2) 4.0.0 bis vor 4.1.9
- Apache CXF (org.apache.cxf:cxf-rt-rs-security-oauth2) vor 3.6.13
- Früheste betroffene 3.x-Version: Unbekannt. Das Apache-Advisory prüfen.
- Nur Installationen, die den JPA-basierten OAuth2-Provider für den Autorisierungscode-Grant verwenden, sind betroffen.
Behoben in
- Apache CXF 4.2.4
- Apache CXF 4.1.9
- Apache CXF 3.6.13
Umgehung
Es ist kein offizieller Workaround veröffentlicht. Übergangsmassnahmen: prüfen, ob der JPA-basierte OAuth2-Provider für den Code-Grant verwendet wird, den Zugriff auf den Token-Endpunkt einschränken und Alarm auslösen, wenn mehr als ein Token aus demselben Autorisierungscode ausgestellt wird.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- EPSS ist niedrig (etwa 0.002).
Unsere Empfehlung
- Prüfen, ob Anwendungen Apache CXF mit dem JPA-basierten OAuth2-Provider für den Autorisierungscode-Grant nutzen, auch eingebettet oder über abhängige Maven-Pakete.
- Betroffene Systeme im nächsten Wartungsfenster auf 4.2.4, 4.1.9 oder 3.6.13 aktualisieren.
- Nicht mehr unterstützte 3.4.x- und 3.5.x-Zweige ersetzen oder aktualisieren.
- Bis zum Patch den Zugriff auf den Token-Endpunkt einschränken und auf mehrere aus einem Autorisierungscode ausgestellte Tokens überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache CXF security advisories index cwiki.apache.org
- Apache mailing list thread (CVE-2026-73179) lists.apache.org
- oss-security announcement CVE-2026-73179 www.openwall.com
- HeroDev vulnerability directory: CVE-2026-73179 www.herodevs.com
- VulDB: CVE-2026-73179 vuldb.com
- Vulners VulnRichment: CVE-2026-73179 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.