【漏洞通报】Apache CXF漏洞

2024-07-22
Apache CXF漏洞.png

漏洞情况

近日，火山信安实验室在持续的安全监测中，发现了Apache CXF框架中WADL（Web Application Description Language）服务存在的一个严重安全漏洞，编号为CVE-2024-29736。该漏洞的CVSS评分高达8.6，表明其潜在风险较高，应引起广大用户和开发者的重视。

0x01漏洞简介

Apache CXF是Apache软件基金会下的一个开源Web服务框架，广泛应用于基于JAX-WS和JAX-RS标准的Web服务开发中。它提供了丰富的功能，包括多种协议支持、数据绑定、安全性以及与其他Apache项目的集成能力。然而，最新发现的安全漏洞指出，在Apache CXF的特定版本中，当WADL服务配置了自定义样式表参数时，攻击者可以利用这一配置不当执行SSRF（Server-Side Request Forgery，服务器端请求伪造）攻击。SSRF攻击允许攻击者诱使服务器向攻击者指定的任意内部或外部资源发送请求，进而可能泄露敏感信息、执行未授权操作或进一步渗透网络。

0x02影响版本

  • 4.0.0 <= Apache CXF < 4.0.5

  • Apache CXF < 3.5.9

0x03修复建议

为了缓解这一安全漏洞带来的风险，官方已发布了修复版本。强烈建议所有受影响的用户立即采取以下措施：

  1. 更新至修复版本：将Apache CXF更新至以下任一修复版本或更高版本

  2. 审查并更新配置：检查并更新您的Apache CXF配置，确保未不必要地启用或暴露自定义样式表参数等可能引发安全风险的配置。

  3. 监控与响应：加强对系统的监控，及时发现并响应任何可疑活动或安全事件。


分享