CVE-2026-92121

WysokieCVSS 7.5

Opublikowano: 30/09/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 30/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

W kodzie WSS4J streaming (StAX) referencja podpisu używająca WS-Security STR-Transform pozostawia wewnętrzny flag "inside signed content" ustawiony na stałe. Polityka WS-SecurityPolicy używa tego flagu do decydowania, czy element wymaga sprawdzenia, więc przestaje oceniać SignedParts i SignedElements dla reszty wiadomości. Polityka wymagająca podpisania SOAP Body jest wtedy spełniona nawet bez podpisu, usuwając ochronę przed XML Signature Wrapping. Kod DOM nie jest dotknięty. Zalecana aktualizacja do wersji 4.0.2, 3.0.6 lub 2.4.4.

Ocena ryzyka

Atakujący może wykorzystać XML Signature Wrapping do obejścia polityki bezpieczeństwa, co może prowadzić do nieautoryzowanego dostępu do operacji lub danych.

Rekomendacja

Zaleca się aktualizację WSS4J do wersji 4.0.2, 3.0.6 lub 2.4.4, które naprawiają ten problem.

Inne podatności w WSS4J

CVE-2026-95616Wysokie
Przepełnienie liczby całkowitej w WSS4J podczas sprawdzania granic DER pozwala na przepuszczenie zbyt dużej alokacji. Nieuwierzytelniony atakujący może wysłać wiadomość SOAP z certyfikatem X.509, którego rozszerzenie SubjectKeyIdentifier deklaruje długość 0x7FFFFFFF; WSS4J dekoduje to podczas rozwiązywania odniesienia do klucza podpisu, zanim wiadomość zostanie uwierzytelniona, więc jedenasto-bajtowe rozszerzenie wyzwala alokację 2 GB. Powtarzane żądania wyczerpują pamięć serwera.

Oryginalny opis (angielski, źródło NVD)

In the WSS4J streaming (StAX) code, a signature reference using the WS-Security STR-Transform leaves an internal "inside signed content" flag permanently set. The WS-SecurityPolicy enforcer uses that flag to decide whether an element needs checking, so it stops evaluating SignedParts and SignedElements for the rest of the message. A policy requiring the SOAP Body to be signed is then satisfied even when the Body carries no signature, removing the protection against XML Signature Wrapping. Signature verification itself is unaffected. The DOM code is not affected. Users are recommended to upgrade to versions 4.0.2 or 3.0.6 or 2.4.4 which fix this issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS