Apache WSS4J: Authentifizierungsumgehung durch gefälschte SAML-Sender-Vouches-Assertion
Zusammenfassung
Apache WSS4J, eine Java-Bibliothek für Web-Services-Sicherheit, enthält eine Authentifizierungsumgehung in seinem DOM Security Processor. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann eine manipulierte, nicht signierte SAML-Sender-Vouches-Assertion mit einem vom Angreifer kontrollierten Schlüssel senden und so authentifizierte SOAP-Nachrichten fälschen. Der CVSS-Basiswert beträgt 9.8 (Critical); die Exponierung hängt davon ab, ob eine Java-Anwendung mit der verwundbaren Bibliothek SAML-Sender-Vouches-Token akzeptiert.
Betroffen
- Apache WSS4J 4.0.0 vor 4.0.2
- Apache WSS4J 3.0.0 vor 3.0.6
- Apache WSS4J vor 2.4.4
- Maven-Artefakt: org.apache.wss4j:wss4j-ws-security-dom
Behoben in
- Apache WSS4J 4.0.2
- Apache WSS4J 3.0.6
- Apache WSS4J 2.4.4
- Distributionspakete: Unbekannt (Ubuntu-Status 'Needs evaluation', Debian-Dringlichkeit noch nicht zugewiesen)
Umgehung
Unbekannt. Es ist kein vom Hersteller veröffentlichter Workaround bekannt; das Aktualisieren ist die angegebene Massnahme.
Ausnutzung
- Zum Zeitpunkt der Recherche ist keine Ausnutzung bekannt.
- Kein öffentlicher Proof-of-Concept-Exploit bekannt.
- CISA-SSVC-Bewertung: Ausnutzung keine, Automatisierbar ja, Technische Auswirkung total.
- Aufnahme im CISA-KEV-Katalog: Unbekannt (nicht verifiziert).
Unsere Empfehlung
- Java-Anwendungen und Abhängigkeiten inventarisieren, die wss4j-ws-security-dom verwenden, einschliesslich transitiver Abhängigkeiten (zum Beispiel über Apache CXF).
- Auf WSS4J 4.0.2, 3.0.6 oder 2.4.4 aktualisieren, passend zum eigenen Zweig; bei Appliances oder mitgelieferter Software beim Hersteller den korrigierten Build erfragen.
- Internetseitig erreichbare SOAP-Dienste und Dienste, die SAML-Token von Partnern akzeptieren, priorisieren.
- Das Apache-Advisory und den CISA-KEV-Katalog auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache oss-security post CVE-2026-88920 www.openwall.com
- Apache advisory thread lists.apache.org
- Apache WSS4J 4.0.2 release github.com
- Apache WSS4J project site ws.apache.org
- Ubuntu security CVE-2026-88920 ubuntu.com
- Quarkus CXF 3.40.2 release notes docs.quarkiverse.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.