CVE-2026-95616

WysokieCVSS 7.5

Opublikowano: 30/09/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 30/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Przepełnienie liczby całkowitej w WSS4J podczas sprawdzania granic DER pozwala na przepuszczenie zbyt dużej alokacji. Nieuwierzytelniony atakujący może wysłać wiadomość SOAP z certyfikatem X.509, którego rozszerzenie SubjectKeyIdentifier deklaruje długość 0x7FFFFFFF; WSS4J dekoduje to podczas rozwiązywania odniesienia do klucza podpisu, zanim wiadomość zostanie uwierzytelniona, więc jedenasto-bajtowe rozszerzenie wyzwala alokację 2 GB. Powtarzane żądania wyczerpują pamięć serwera.

Ocena ryzyka

Atakujący może spowodować wyczerpanie pamięci serwera, co prowadzi do odmowy usługi (DoS).

Rekomendacja

Zaleca się aktualizację WSS4J do wersji 4.0.2, 3.0.6 lub 2.4.4, które naprawiają ten problem.

Inne podatności w WSS4J

CVE-2026-92121Wysokie
W kodzie WSS4J streaming (StAX) referencja podpisu używająca WS-Security STR-Transform pozostawia wewnętrzny flag "inside signed content" ustawiony na stałe. Polityka WS-SecurityPolicy używa tego flagu do decydowania, czy element wymaga sprawdzenia, więc przestaje oceniać SignedParts i SignedElements dla reszty wiadomości. Polityka wymagająca podpisania SOAP Body jest wtedy spełniona nawet bez podpisu, usuwając ochronę przed XML Signature Wrapping. Kod DOM nie jest dotknięty. Zalecana aktualizacja do wersji 4.0.2, 3.0.6 lub 2.4.4.

Oryginalny opis (angielski, źródło NVD)

An integer overflow in WSS4J's DER bounds check lets an oversized allocation pass validation. An unauthenticated attacker can send a SOAP message carrying an X.509 certificate whose SubjectKeyIdentifier extension declares a length of 0x7FFFFFFF; WSS4J decodes this while resolving the signature's key reference, before the message is authenticated, so an eleven-byte extension triggers a 2 GB allocation. Repeated requests exhaust server memory. Users are recommended to upgrade to versions 4.0.2 or 3.0.6 or 2.4.4, which fix this issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS