Apache CXF: Authentifizierungsumgehung durch Hash-Kollisionen im STS-Token-Cache
Zusammenfassung
Der STSTokenValidator und der Security Token Service von Apache CXF speichern validierte Sicherheitstoken unter einem nicht kryptografischen 32-Bit-Hash. Ein Cache-Treffer gilt als Nachweis, dass ein Token bereits validiert wurde. Ein Angreifer kann daher ein kollidierendes Token (zum Beispiel ein UsernameToken oder eine selbst signierte SAML Assertion) erstellen, das ohne Passwort-, Signatur- oder STS-Prüfung akzeptiert wird. Dadurch kann er sich als anderer Benutzer authentifizieren und über die STS-Validierung oder Erneuerung STS-signierte Token für diese Identität erhalten. Der CVSS-Basiswert ist 9.1 (kritisch), und für den Angriff sind weder Berechtigungen noch Benutzerinteraktion nötig.
Betroffen
- Apache CXF 4.2.0 vor 4.2.4
- Apache CXF 4.0.0 vor 4.1.9
- Apache CXF vor 3.6.13
- Ältere Zweige (3.4.x, 3.5.x) sind in den Angaben von Apache nicht aufgeführt; ob sie betroffen sind, ist unbekannt.
Behoben in
- Apache CXF 4.2.4
- Apache CXF 4.1.9 (deckt auch 4.0.x ab, da es keine separate Korrektur für 4.0.x gibt)
- Apache CXF 3.6.13
Umgehung
Unbekannt. Apache nennt als Abhilfe nur das Aktualisieren.
Ausnutzung
- Ausnutzung in freier Wildbahn: laut den geprüften Quellen nicht bekannt.
- CISA-SSVC-Bewertung: Exploitation none, Automatable yes, Technical Impact total.
- Öffentlicher Proof of Concept: nicht bekannt.
Unsere Empfehlung
- Ermitteln Sie Anwendungen, die das Modul cxf-rt-ws-security verwenden, insbesondere STSTokenValidator oder die STS-Token-Validierung.
- Aktualisieren Sie auf CXF 4.2.4, 4.1.9 oder 3.6.13 und bauen und deployen Sie gepackte Anwendungen neu, da ein Update nur des Hosts die verwundbare Kopie belassen kann.
- Beschränken Sie den Zugriff auf betroffene Dienste und überwachen Sie die Authentifizierungsprotokolle auf ungewöhnliche Token-Nutzung, bis das Update eingespielt ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache CXF security advisories cxf.apache.org
- Apache lists thread for CVE-2026-97468 lists.apache.org
- oss-security advisory CVE-2026-97468 www.openwall.com
- Apache CXF advisory mirror (users list) www.mail-archive.com
- HeroDevs vulnerability directory entry www.herodevs.com
- Linux Security news on Apache CXF fixes linuxsecurity.com
- WildFly pull request upgrading to CXF 4.1.9 github.com
- Qlik CXF WS-Security runtime token caching help.qlik.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.