CVE-2026-50627

Apache CXF: brak weryfikacji pola 'aud' w tokenach JWT (Token Confusion)

CVSS 9.1pub. 2026-06-12upd. 2026-07-02

Klasa JwtAccessTokenValidator w Apache CXF nie weryfikuje roszczenia 'aud' (Audience) w przychodzących tokenach JWT. Umożliwia to atakującemu ponowne użycie tokenu wydanego dla jednego serwera zasobów przeciwko innemu, co prowadzi do ataków typu Token Confusion/Routing.

▸ Pokaż oryginał (EN)

The JwtAccessTokenValidator class in Apache CXF fails to validate the 'aud' (Audience) claims of incoming JWT access tokens. This allows a JWT issued for one Resource Server to be successfully replayed against a completely different Resource Server, leading to Token Confusion/Routing attacks. Users are recommended to upgrade to versions 4.2.2 or 4.1.7, which fixes this issue.

🤖 Analiza AI

Jak działa

Mechanizm podatności wynika z pominięcia walidacji pola 'aud' (Audience) w tokenach JWT przez klasę JwtAccessTokenValidator. Pole 'aud' określa, dla jakiego serwera zasobów token został wystawiony. Brak jego weryfikacji oznacza, że token JWT legalnie wydany dla jednego Resource Server może zostać z powodzeniem przesłany (replay) do zupełnie innego Resource Server i tam zaakceptowany. Prowadzi to do ataku Token Confusion, w którym granice autoryzacji między różnymi usługami zostają naruszone.

Skutki

Atakujący posiadający ważny token JWT dla jednej usługi może uzyskać nieautoryzowany dostęp do innych usług (Resource Serverów) w tej samej infrastrukturze. Może to prowadzić do naruszenia poufności, integralności i dostępności chronionych zasobów.

Mitygacja

Należy zaktualizować Apache CXF do wersji 4.2.2 lub 4.1.7, w których problem został naprawiony. Szczegóły dostępne w referencjach producenta na liście dyskusyjnej Apache.