Plataforma
java
Componente
org.apache.cxf:cxf-rt-databinding-aegis
Corregido en
4.0.4, 3.6.3, 3.5.8
3.5.8
Se ha descubierto una vulnerabilidad de SSRF (Server-Side Request Forgery) en la DataBinding Aegis de Apache CXF. Esta vulnerabilidad permite a un atacante realizar ataques de tipo SSRF a servicios web que aceptan al menos un parámetro de cualquier tipo. Afecta a versiones de Apache CXF anteriores a 4.0.4, 3.6.3 y 3.5.8, y la solución recomendada es actualizar a la versión 3.5.8 o superior.
La vulnerabilidad SSRF en Apache CXF permite a un atacante realizar solicitudes a recursos internos que normalmente no serían accesibles desde el exterior. Esto podría incluir la lectura de archivos confidenciales, la interacción con otros servicios internos o incluso la ejecución de comandos en el servidor, dependiendo de la configuración y los permisos del servicio web afectado. Un atacante podría, por ejemplo, intentar acceder a metadatos de servicios en la nube o a información sensible almacenada en bases de datos internas. La severidad CRÍTICA indica un alto riesgo de explotación y un impacto significativo en la confidencialidad, integridad y disponibilidad de los sistemas afectados.
La vulnerabilidad fue publicada el 15 de marzo de 2024. Actualmente, no se han reportado casos de explotación activa en entornos de producción, pero la naturaleza de la vulnerabilidad SSRF la convierte en un objetivo atractivo para atacantes. Es importante monitorear los sistemas afectados y aplicar las mitigaciones recomendadas lo antes posible. No se ha añadido a KEV al momento de la redacción.
Organizations using Apache CXF for web service integration, particularly those relying on the Aegis DataBinding for data serialization and deserialization, are at risk. This includes applications that process data from external sources without proper validation. Shared hosting environments where multiple applications share the same CXF instance are also particularly vulnerable.
• java / server:
ps -ef | grep cxf• java / server:
find / -name "cxf-rt-databinding-aegis*.jar" -print• generic web:
curl -I <affected_cxf_endpoint>• generic web:
grep -r "Aegis DataBinding" /var/log/apache2/access.logdisclosure
Estado del Exploit
EPSS
0.59% (69% percentil)
Vector CVSS
La mitigación principal para esta vulnerabilidad es actualizar Apache CXF a la versión 3.5.8 o superior, donde se ha corregido el problema. Si la actualización inmediata no es posible, se recomienda implementar medidas de seguridad adicionales, como restringir el acceso a los servicios web afectados a través de firewalls o proxies. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes sospechosas que puedan indicar un intento de ataque SSRF. Es crucial revisar la configuración de los servicios web para asegurar que no se expongan recursos internos innecesariamente.
Actualice Apache CXF a la versión 4.0.4, 3.6.3 o 3.5.8 o superior. Esto corrige la vulnerabilidad SSRF en el enlace de datos Aegis. Si no puede actualizar inmediatamente, considere deshabilitar o evitar el uso del enlace de datos Aegis.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
Es una vulnerabilidad de SSRF en Apache CXF que permite a atacantes realizar solicitudes a recursos internos, afectando versiones anteriores a 4.0.4, 3.6.3 y 3.5.8.
Sí, si está utilizando Apache CXF con la DataBinding Aegis en versiones anteriores a 3.5.8, es vulnerable.
Actualice Apache CXF a la versión 3.5.8 o superior. Si no es posible, implemente medidas de seguridad como firewalls y WAF.
Aunque no se han reportado explotaciones activas, la naturaleza de la vulnerabilidad la hace un objetivo potencial para atacantes.
Consulte el sitio web de Apache CXF y las listas de correo de seguridad para obtener información oficial sobre la vulnerabilidad.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo pom.xml y te decimos al instante si estás afectado.