觀點 · 資訊分享

Apache CXF 一次修 5 個嚴重漏洞：OAuth 的 IP 綁定檢查寫反了，反而放行外人

Java 服務框架 Apache CXF 一次公開 5 個 9 分以上的漏洞，包含 OAuth2 的 IP 綁定判斷寫反、JWT 沒驗受眾、XXE 與兩個 JNDI 注入。官方建議升級到 4.2.2、4.1.7 或 3.6.12。

一句話看懂：Java 框架 Apache CXF 一次公開 5 個 9 分以上的嚴重漏洞，其中 OAuth2 的 IP 綁定檢查寫反，會放行不該放行的人。

Apache CXF 5 個嚴重漏洞資訊圖卡：IP 綁定的判斷寫反，該擋的放行、該放的反而擋，另有 XXE 與 JNDI 注入

先用白話講：CXF 的漏洞是什麼意思？

CXF 像是 Java 後端的「櫃台系統」，負責接待各種網路請求、核對憑證。這次出問題的地方，好比櫃台人員把規則看反了：「只有這位客人能進」被執行成「除了這位客人，其他人都能進」。

Apache CXF 公開了一批安全公告，NVD 與 GitHub 在 2026 年 6 月 12 日收錄；Apache 的公告也出現在 6 月 11 日的 oss-security 郵件列表上。以下是其中 5 個：

官方公告頁上還列了其他 CXF 漏洞，這篇只整理上面五個。

IP 綁定寫反（50628）：啟用這個安全功能後，邏輯錯誤讓綁定 IP 的合法請求被拒絕，其他 IP 的請求反而被放行
JWT 沒驗受眾（50627）：發給 A 服務的令牌，可以拿去 B 服務重複使用，官方稱為令牌混淆與路由攻擊
XXE（49875）：解析 XML 時沒做必要的安全設定，可能被用來外部讀取資源
JNDI 注入（50632、50633）：JMS 設定若允許不受信任的人修改，或 JCA 部署描述檔被竄改，就可能執行程式碼；50632 是先前 CVE-2026-44417 修補不完整的後續

我自己沒有直接用 CXF，但接案時偶爾會遇到客戶的舊 Java 系統，裡面有沒有 CXF 常常沒人說得清楚。這類框架通常藏在更大的套件裡，是最容易被漏掉的依賴。

這次最值得學的是「IP 綁定寫反」：防護功能啟用了卻產生相反效果，只看設定頁面是發現不了的。自己寫權限相關程式時，一定要寫「該擋的真的被擋」的測試，而不是只測「合法請求能過」。

Apache CXF 是什麼？

Java 世界常用的網路服務框架，用來建立與呼叫 REST、SOAP 等服務，也包含 OAuth2、JMS 等模組。

CVE-2026-50628 的「寫反」是什麼意思？

OAuth2 有個功能可以把令牌綁在特定 IP。官方說明該檢查的邏輯錯誤，會拒絕從綁定 IP 來的合法請求，卻直接放行其他 IP，等於開啟這個功能反而變成反向的防護。

每個漏洞都要升級嗎？

各漏洞影響的模組不同：OAuth2 的兩個在 cxf-rt-rs-security-oauth2，XXE 在 cxf-core，JNDI 注入分別在 JMS 與 JCA 模組。沒用到那些模組的風險較低，但最簡單的做法還是直接升到修補版。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。