CVE-2026-54225, CVE-2026-64958

Data: 2026-08-07

Severity: High

CVSS Score:

  • CVE-2026-54225: 7.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)

  • CVE-2026-64958: 7.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)

Nota

La severity e i CVSS Score si riferiscono alle vulnerabilità della libreria. Come descritto nella sezione GovWay, la deserializzazione degli allegati in ingresso non transita per il codice vulnerabile di Apache CXF, pertanto le vulnerabilità non si manifestano nel prodotto.

Riferimenti:

Libreria: org.apache.cxf:cxf-core (versioni affette: < 3.6.12, 4.0.0 - 4.1.7 e 4.2.0 - 4.2.2)

Descrizione

  1. [CVE-2026-54225] CWE-770: Allocation of Resources Without Limits or Throttling

Apache CXF allows to control the maximum attachment size via the «attachment-max-size». Prior to Apache CXF 4.2.3 and 4.1.8 and 3.6.12, there was no default placed on this size, meaning that a denial of service attack is possible if the user doesn’t explicitly set the limit. Users should update to Apache CXF 4.2.3 or 4.1.8 or 3.6.12 which fixes this problem by imposing a default attachment size limit of 50mb.

  1. [CVE-2026-64958] CWE-400: Uncontrolled Resource Consumption

An incomplete fix for CVE-2026-50645 means that it is still possible to perform a denial of service attack on Apache CXF by sending a message with many attachment headers. Users are recommended to upgrade to versions 4.2.3 or 4.1.8 or 3.6.12, which fix this issue.

GovWay

Entrambe le vulnerabilità risiedono nel deserializzatore degli allegati di Apache CXF (org.apache.cxf.attachment.AttachmentDeserializer), nel modulo cxf-core, e sono raggiungibili solo se i messaggi multipart/MTOM in ingresso vengono parsati tramite tale componente. La seconda, in particolare, è un fix incompleto della precedente CVE-2026-50645 (cfr. CVE-2026-50645).

Sebbene cxf-core faccia parte della distribuzione di GovWay, il prodotto non utilizza il deserializzatore di allegati di CXF per il parsing dei messaggi in ingresso:

  • i messaggi SOAP con allegati (MTOM/SwA) sono parsati dall’implementazione SAAJ (com.sun.xml.messaging.saaj), con il relativo parser MIME interno;

  • i messaggi REST multipart sono parsati tramite Jakarta Mail (jakarta.mail.internet.MimeMultipart).

Le classi org.apache.cxf.attachment.* sono impiegate da GovWay unicamente per operazioni non legate al parsing in ingresso (es. generazione del Content-ID per gli allegati in uscita e adattamento di DataHandler già parsati verso le strutture richieste da WSS4J). Il deserializzatore vulnerabile AttachmentDeserializer non viene quindi mai invocato sul flusso di ricezione dei messaggi. Per questi motivi le vulnerabilità non si manifestano nel prodotto.

Si evidenzia inoltre che GovWay dispone di un controllo proprio, configurabile, sulla dimensione dei messaggi in ingresso (soglie di Controllo del Traffico, applicate sullo stream di ricezione), indipendente dall’opzione attachment-max-size di Apache CXF.

Nota

Le vulnerabilità sono correttamente attribuite all’artefatto cxf-core (oltre che a cxf-rt-transports-http-jetty), in quanto l’NVD associa le vulnerabilità di Apache CXF alla CPE di prodotto cpe:2.3:a:apache:cxf. Pur essendo cxf-core effettivamente distribuito da GovWay, lo specifico percorso di codice vulnerabile (AttachmentDeserializer) non è esercitato dal prodotto.

Versione affette:

  • 3.3.x: <= 3.3.20

  • 3.4.x: <= 3.4.3

Risoluzione:

  • 3.3.x: 3.3.21

  • 3.4.x: 3.4.4