Es posible configurar Apache CXF para que use la implementación com.sun.net.ssl a través de "System.setProperty("java.protocol.handler.pkgs"...
nvd · CVSS 3.0
CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Es posible configurar Apache CXF para que use la implementación com.sun.net.ssl a través de "System.setProperty("java.protocol.handler.pkgs" "com.sun.net.ssl.internal.www.protocol");". Cuando se establece esta propiedad de sistema, CXF utiliza determinada reflexión para intentar hacer que HostnameVerifier funcione con la antigua interfaz com.sun.net.ssl.HostnameVerifier. Sin embargo, la implementación predeterminada de HostnameVerifier en CXF no implementa el método en esta interfaz y se lanza una excepción. Sin embargo, en Apache CXF en versiones anteriores a la 3.2.5 y 3.1.16, la excepción queda atrapada en el código de reflexión y no se propaga correctamente. Esto significa que, si está utilizando la pila com.sun.net.ssl con CXF, no se producirá un error con la verificación del nombre de host TLS, lo que dejará a un cliente CXF sujeto a ataques Man-in-the-Middle (MitM).
Exploit de prueba de concepto para CVE-2018-8039, una vulnerabilidad de ejecución remota de código en Apache CXF que afecta a los servicios de API SOAP y REST.
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.