CVE-2026-107938 in CXF
Zusammenfassung
von VulDB • 09.10.2026
In Apache CXF hat der auf Netty basierende HTTP-Client-Transport (cxf-rt-transports-http-netty-client) nicht überprüft, ob der Hostname im TLS-Zertifikat des Servers mit dem aufgerufenen Host übereinstimmt. Dies galt sowohl für HTTP/1.1 als auch für HTTP/2, selbst wenn disableCNCheck auf seinem Standardwert false belassen wurde. Die Zertifikatskette wurde gegen den konfigurierten Truststore validiert, die Identität der Endpunkt jedoch nicht. Ein Netzwerkangreifer, in der Lage ist, den Datenverkehr abzufangen, kann jedes vom Client vertraute Zertifikat vorlegen, beispielsweise ein öffentlich ausgestelltes Zertifikat für eine Domäne, die er kontrolliert, und so den Zielserver imitieren (Impersonation). Anschließend könnte er die ausgetauschten Nachrichten einschließlich der Anmeldeinformationen lesen oder manipulieren.
Benutzern wird empfohlen, auf Versionen 4.2.4, 4.1.9 oder 3.6.13 zu aktualisieren, die dieses Problem beheben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.