Apache WSS4J: Streaming-WS-SecurityPolicy-Validierung kann Schutzprüfungen für Elemente umgehen

Zusammenfassung

Bestimmte relative oder nicht unterstützte XPath-Ausdrücke im StAX-Streaming-WS-SecurityPolicy-Validator von Apache WSS4J werden in Pfade umgewandelt, die nie mit dem tatsächlichen XML-Elementpfad übereinstimmen. Ein entfernter SOAP-Partner kann dadurch ein erforderliches Element ohne die erwartete Signatur oder Verschlüsselung senden, und die Validierung weist die Nachricht nicht ab. Voraussetzung ist, dass der betroffene SOAP-Dienst Streaming-WS-SecurityPolicy mit geforderten signierten oder verschlüsselten Elementen verwendet; die Standardkonfiguration ist nicht betroffen.

Betroffen

• Apache WSS4J (org.apache.wss4j:wss4j-ws-security-policy-stax) 4.0.0 vor 4.0.2
• Apache WSS4J (org.apache.wss4j:wss4j-ws-security-policy-stax) 3.0.0 vor 3.0.6
• Apache WSS4J vor 2.4.4 (untere Grenze für den 2.x-Zweig: unbekannt)
• Drittanbieter-Aggregatoren nennen diese Bereiche; mit dem Apache-Advisory abgleichen.

Behoben in

• Apache WSS4J 4.0.2
• Apache WSS4J 3.0.6
• Apache WSS4J 2.4.4

Umgehung

Unbekannt. Es wurde kein offizieller Workaround veröffentlicht. Das Aktualisieren ist die dokumentierte Massnahme. Das Überprüfen der WS-SecurityPolicy-XPath-Ausdrücke und die Verwendung einfacher Elementpfade ist ein möglicher Zwischenschritt, aber keine von Apache dokumentierte Massnahme.

Ausnutzung

• CVSS 3.1-Bewertung 9.1 (CRITICAL), über das Netzwerk erreichbar, keine Authentifizierung und keine Benutzerinteraktion erforderlich.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Kein Hinweis auf Ausnutzung in freier Wildbahn gefunden; KEV: No.
• Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies ist nicht vollständig verifiziert.

Unsere Empfehlung

• Inventarisieren Sie WSS4J und alle Abhängigkeiten, die wss4j-ws-security-policy-stax einbinden, etwa über Apache CXF, einschliesslich transitiver Versionen.
• Aktualisieren Sie auf 4.0.2, 3.0.6 oder 2.4.4, passend zu Ihrem Zweig.
• Testen Sie SOAP-Sicherheitsrichtlinien vor dem Rollout, da die strengere XPath-Behandlung Anfragen ablehnen kann, die bisher funktioniert haben.
• Priorisieren Sie SOAP-Endpunkte, die aus dem Internet oder von Partnern erreichbar sind.
• Prüfen Sie das Apache-Advisory auf den massgeblichen betroffenen Bereich.
• Überprüfen Sie die CWE-Zuordnung (CWE-917) in der NVD, da sie zur Beschreibung nicht zu passen scheint.
• Patchen Sie die in derselben Version behobenen verwandten CVEs gemeinsam.
• Überwachen Sie SOAP-Endpunkte auf unerwartete Nachrichten ohne geforderte Signaturen oder Verschlüsselung.
• Der CVE-Eintrag ist aus Primärquellen nicht vollständig bestätigt; prüfen Sie ihn vor der Finalisierung.
• Hinweis: Laut Drittquellen behebt dieselbe Version auch CVE-2026-88920, CVE-2026-89238 und CVE-2026-92121.
• Ubuntu stuft dies als medium ein, während der CVSS-Wert 9.1 beträgt; verwenden Sie den CVSS-Wert als primäre Bewertung.
• Testen Sie gründlich vor dem Einsatz.
• Behandeln Sie das Risiko als hoch, wenn SOAP-Dienste aus unvertrauenswürdigen Netzen erreichbar sind.
• Dokumentieren Sie den Patchstand für Audit-Zwecke.
• Prüfen Sie nach der Veröffentlichung den Apache-Thread auf weitere Hinweise.
• Werten Sie Logs auf SOAP-Nachrichten von unerwarteten Partnern aus.
• Bestätigen Sie nach dem Patchen, dass der Validator die geforderten Signatur- und Verschlüsselungselemente durchsetzt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Apache WSS4J advisory thread lists.apache.org
• oss-security post CVE-2026-87830 www.openwall.com
• Tomitribe ws-wss4j fix PR github.com
• Ubuntu CVE-2026-87830 ubuntu.com
• Quarkus CXF 3.40.2 release notes docs.quarkiverse.io
• Apache WSS4J streaming documentation ws.apache.org
• Maven Repository WSS4J mvnrepository.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:56.