CVE-2026-66909

Data: 2026-08-07

Severity: Critical

CVSS Score: 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)

Nota

La severity e il CVSS Score si riferiscono alla vulnerabilità della libreria. Come descritto nella sezione GovWay, la vulnerabilità non si manifesta nel prodotto, poiché risiede nel modulo cxf-rt-transports-jms (trasporto JMS di Apache CXF) non distribuito da GovWay.

Riferimenti:

Libreria: org.apache.cxf:cxf-rt-transports-jms (versioni affette: < 3.6.12, 4.0.0 - 4.1.7 e 4.2.0 - 4.2.2)

Descrizione

CWE-502: Deserialization of Untrusted Data

Apache CXF’s JMS transport deserializes the body of any inbound JMS ObjectMessage using native Java deserialization, with no type restrictions in place. Any attacker able to place a message on the service’s JMS destination can submit a malicious serialized object, leading to denial of service or, if a suitable gadget class is on the classpath, remote code execution. The fix disables ObjectMessage deserialization by default, with a configuration switch to re-enable it if needed. Users are recommended to upgrade to versions 4.2.3 or 4.1.8 or 3.6.12, which fix this issue.

GovWay

La vulnerabilità risiede nel trasporto JMS di Apache CXF (modulo cxf-rt-transports-jms) ed è sfruttabile solamente da un attaccante in grado di depositare un messaggio JMS sulla destinazione utilizzata da un endpoint CXF configurato su tale trasporto.

Il modulo cxf-rt-transports-jms non fa parte della distribuzione di GovWay: il prodotto utilizza esclusivamente il core CXF ed i runtime JAX-WS/JAX-RS su trasporto HTTP, e non espone alcun endpoint CXF su trasporto JMS. Le code JMS eventualmente utilizzate da GovWay (consegna asincrona verso il repository dei messaggi) sono gestite con logica propria, tramite le API JMS dell’application server, e non veicolano oggetti serializzati Java deserializzati da Apache CXF. Per questi motivi la vulnerabilità non si manifesta nel prodotto.

Nota

La vulnerabilità è segnalata dai tool di analisi delle dipendenze (es. OWASP dependency-check) a carico degli artefatti cxf-core e cxf-rt-transports-http-jetty, in quanto l’NVD associa le vulnerabilità di Apache CXF alla CPE di prodotto cpe:2.3:a:apache:cxf senza distinguere il singolo modulo Maven. Il codice vulnerabile risiede tuttavia nel modulo cxf-rt-transports-jms, non distribuito da GovWay.

Versione affette:

  • 3.3.x: <= 3.3.20

  • 3.4.x: <= 3.4.3

Risoluzione:

  • 3.3.x: 3.3.21

  • 3.4.x: 3.4.4