Apache CXF OAuth2 Missing JWT Audience and Issuer Validation in Access Token Validator

CVSS –1 Quelle

Beschreibung

Die JwtAccessTokenValidator-Klasse in Apache CXF kann die "Audience"-Ansprüche eingehender JWT-Zugriffstoken nicht validieren. Auf diese Weise kann ein JWT, das für einen Ressourcenserver ausgegeben wurde, erfolgreich gegen einen völlig anderen Ressourcenserver abgespielt werden, was zu Token Confusion / Routing-Angriffen führt. Benutzern wird empfohlen, auf die Versionen 4.2.2 oder 4.1.7 zu aktualisieren, wodurch dieses Problem behoben wird.

HerstellerApache Software Foundation

Produktorg.apache.cxf:cxf-rt-rs-security-oauth2

Produktfamiliemaven

Betroffene Versionen>= 4.2.0, < 4.2.2, < 4.1.7

Behobene Versionen4.2.2, 4.1.7

Nachvollziehbarkeit

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

GitHub Security Advisories · Veröffentlichung öffnen ↗

KI-gestützt · ohne Gewährleistung

Was ist zur Behebung zu tun?

Auf eine behobene Version aktualisieren: 4.2.2, 4.1.7.

PrioritätRot

EinordnungSofort behandeln: kritisch oder aktiv ausgenutzt/KEV-relevant.

Empfohlene Schritte

Betroffene Systeme identifizieren: Apache Software Foundation org.apache.cxf:cxf-rt-rs-security-oauth2.
Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.

GitHub Security Advisories NVD MITRE CVE CISA KEV Suche Web-Recherche