CVE-2024-28752

SSRF w Apache CXF przez Aegis DataBinding — ataki na usługi webowe

CVSS 9.3v3.1pub. 2024-03-15upd. 2025-06-27

Podatność typu SSRF (Server-Side Request Forgery) w komponencie Aegis DataBinding biblioteki Apache CXF umożliwia atakującemu wykonywanie nieautoryzowanych żądań po stronie serwera. Dotyczy wersji Apache CXF przed 4.0.4, 3.6.3 i 3.5.8, a jej krytyczność wynika z możliwości naruszenia poufności i integralności danych bez konieczności uwierzytelnienia.

▸ Pokaż oryginał (EN)

A SSRF vulnerability using the Aegis DataBinding in versions of Apache CXF before 4.0.4, 3.6.3 and 3.5.8 allows an attacker to perform SSRF style attacks on webservices that take at least one parameter of any type. Users of other data bindings (including the default databinding) are not impacted.

🤖 Analiza AI

Jak działa

Podatność jest obecna wyłącznie w konfiguracji używającej Aegis DataBinding — domyślny mechanizm wiązania danych nie jest podatny. Atakujący może spreparować odpowiednio złośliwe dane wejściowe i przekazać je do dowolnej usługi webowej zbudowanej na Apache CXF z Aegis DataBinding, o ile przyjmuje ona co najmniej jeden parametr dowolnego typu. Serwer przetwarza te dane i może zostać skłoniony do wykonania żądań HTTP do wewnętrznych lub zewnętrznych zasobów, do których normalnie atakujący nie miałby dostępu.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do wewnętrznych zasobów sieciowych (SSRF), odczytywać poufne informacje oraz wpływać na integralność operacji wykonywanych przez serwer w imieniu atakującego. Może to prowadzić do ujawnienia infrastruktury wewnętrznej oraz eskalacji do dalszych ataków w sieci wewnętrznej.

Mitygacja

Należy zaktualizować Apache CXF do wersji 4.0.4, 3.6.3 lub 3.5.8 (odpowiednio do używanej gałęzi). Jeśli aktualizacja nie jest natychmiast możliwa, należy rozważyć przejście na domyślny mechanizm wiązania danych zamiast Aegis DataBinding. Użytkownicy produktów NetApp powinni zastosować patche zgodnie z zaleceniami producenta dostępnymi pod adresem security.netapp.com.

Kogo dotyczy

Apache CXF w wersjach przed 4.0.4, przed 3.6.3 oraz przed 3.5.8, wyłącznie gdy używany jest Aegis DataBinding. Dotyczy również produktów NetApp: OnCommand Workflow Automation oraz ONTAP Tools (wersje wskazane w referencjach producenta NetApp).

Uwagi

Podatność dotyczy wyłącznie konfiguracji z Aegis DataBinding — instalacje korzystające z domyślnego mechanizmu wiązania danych (default databinding) nie są zagrożone. Informacja opublikowana na liście oss-security 14 marca 2024.