CVE-2018-8039

总结

可以配置 Apache CXF 通过 `System.setProperty("java.protocol.handler.pkgs", "com.sun.net.ssl.internal.www.protocol");` 使用 com.sun.net.ssl 实现。当设置此系统属性时，CXF 会使用一些反射机制尝试让 HostnameVerifier 与旧的 com.sun.net.ssl.HostnameVerifier 接口兼容。然而，CXF 中的默认 HostnameVerifier 实现并未实现该接口中的方法，因此会抛出异常。但在 Apache CXF 3.2.5 和 3.1.16 之前的版本中，该异常在反射代码中被捕获，并未被正确传播。这意味着，如果您在 CXF 中使用 com.sun.net.ssl 堆栈，TLS 主机名验证错误将不会被抛出，从而使 CXF 客户端面临中间人攻击的风险。

• CVE-2018-8039漏洞利用

  针对CVE-2018-8039的概念验证漏洞利用，这是一个影响SOAP和REST API服务的Apache CXF远程代码执行漏洞