Apache Software FoundationのApache CXFにおいて、NettyベースのHTTPクライアントトランスポート（cxf-rt-transports-http-netty-client）に、サーバーのTLS証明書に記載されたホスト名が呼び出し先のホストと一致しているかを検証しない脆弱性が存在する。HTTP/1.1およびHTTP/2の両方に該当し、disableCNCheckがデフォルト値のfalseのままでも同様の問題が発生する。通信を傍受できる攻撃者は、クライアントが信頼する任意の証明書を提示してターゲットサービスをなりすますことが可能である。
対象ソフト
Apache CXFは、Java環境でWebサービスを構築・開発するためのオープンソースのフレームワークであり、企業システムやAPI連携基盤などで広く利用されている。
影響
認証情報を含むメッセージのやり取りを読み取られたり、改ざんされたりするおそれがある。
対応策
修正されたバージョン（4.2.4、4.1.9、または3.6.13）へアップグレードすること。
