Apache WSS4J: EncryptedHeader-Kindelemente führen zur falschen Header-Auswahl
Zusammenfassung
Apache WSS4J, eine Java-Bibliothek für WS-Security in SOAP-Webdiensten, kann aufgrund einer Verwechslung von EncryptedHeader-Kindelementen ein vom Angreifer kontrolliertes Klartextelement als entschlüsselten SOAP-Header auswählen. Dadurch ist der Vertraulichkeitsschutz unvollständig und eine Umgehung von Sicherheitsrichtlinien ist möglich. Der Angreifer muss in der Lage sein, manipulierte SOAP-Nachrichten an einen betroffenen Dienst zu senden; laut CVSS-Vektor ist keine Authentifizierung erforderlich.
Betroffen
- Apache WSS4J 4.0.0 vor 4.0.2
- Apache WSS4J 3.0.0 vor 3.0.6
- Apache WSS4J vor 2.4.4
- Standardkonfiguration: laut CVE-Eintrag nicht betroffen
Behoben in
- Apache WSS4J 4.0.2
- Apache WSS4J 3.0.6
- Apache WSS4J 2.4.4
Umgehung
Unbekannt.
Ausnutzung
- Keine bekannte Ausnutzung (CISA SSVC: Exploitation none)
- CISA SSVC: Automatisierbar ja, technische Auswirkung total
- CVSS 3.1: 9.1 (kritisch), AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Unsere Empfehlung
- Anwendungen identifizieren, die Apache WSS4J einbetten, zum Beispiel über Apache CXF, und deren Versionen prüfen.
- Auf WSS4J 4.0.2, 3.0.6 oder 2.4.4 aktualisieren, je nach verwendetem Zweig, und abhängige Frameworks aktualisieren.
- Prüfen, ob SOAP-Dienste EncryptedHeader und Sicherheitsrichtlinien mit Header-Verschlüsselung verwenden.
- SOAP-Dienstprotokolle bis zur Behebung auf ungewöhnliche Nachrichtenstrukturen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list thread lists.apache.org
- oss-security post CVE-2026-89238 www.openwall.com
- WSS4J 4.0.2 release github.com
- Upstream fix backport (tomitribe ws-wss4j PR 1) github.com
- Ubuntu security notice ubuntu.com
- OSV Debian entry osv.dev
- Strix CVE summary www.strix.ai
- Apache WSS4J project ws.apache.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.