Apache CXF の Aegis DataBinding における SSRF の脆弱性

このSSRF脆弱性は、攻撃者がApache CXFが処理するリクエストを操作することで、内部ネットワーク上の機密情報にアクセスすることを可能にします。例えば、内部APIエンドポイントへのアクセス、クラウドメタデータサービスの取得、または他の内部システムへの攻撃の足がかりとして利用される可能性があります。攻撃者は、認証されていない状態で内部リソースにアクセスし、データの漏洩や改ざん、さらにはシステム全体の制御を奪うリスクがあります。この脆弱性は、特に内部ネットワークへのアクセス権限を持つ攻撃者にとって、非常に危険です。

Organizations using Apache CXF for web service integration, particularly those relying on the Aegis DataBinding for data serialization and deserialization, are at risk. This includes applications that process data from external sources without proper validation. Shared hosting environments where multiple applications share the same CXF instance are also particularly vulnerable.

• java / server:

ps -ef | grep cxf

• java / server:

find / -name "cxf-rt-databinding-aegis*.jar" -print

• generic web:

curl -I <affected_cxf_endpoint>

• generic web:

 grep -r "Aegis DataBinding" /var/log/apache2/access.log

1. 2024-03-15Disclosure

   disclosure

1. 予約済み2024-03-08
2. 公開日2024-03-15
3. 更新日2026-02-04
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、まずApache CXFをバージョン3.5.8以上にアップデートすることを推奨します。アップデートが困難な場合は、入力検証を強化し、Aegis DataBindingの使用を制限するなどの回避策を検討してください。WAF（Web Application Firewall）を導入し、SSRF攻撃を検知・防御するルールを設定することも有効です。また、ネットワークセグメンテーションを実施し、内部リソースへのアクセスを制限することで、攻撃の影響範囲を限定できます。