SSRF via les adresses WS-Addressing dans Apache Axis2/Java

Veille sécuritéBackend & données

P4Non déterminée

Un appelant non authentifié pouvait fournir une adresse WS-Addressing non anonyme dans ReplyTo ou FaultTo et faire établir par Axis2 une connexion vers cette destination. Axis2 2.0.2 refuse ces réponses différées par défaut et encadre les destinations lorsqu’elles sont explicitement autorisées ; mettre à niveau les installations concernées.

IdentifiantCVE-2026-123753

GravitéNon déterminée

Exploitationnon connue / non déterminée

Correctif2.0.2

Source : NVD — CVE-2026-123753

Analyse technique

Les réponses et faults pouvaient être envoyées à une adresse fournie par l’appelant ; en 2.0.2, l’option allowNonAnonymousResponseEndpoints est désactivée par défaut et les destinations autorisées sont filtrées.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-09 à 11:17:23.920Z, dans la période demandée ; l’événement retenu est la publication de l’information sur la vulnérabilité.

ImpactDes requêtes vers des hôtes internes et la transmission du contenu des réponses à une destination choisie par l’appelant étaient possibles.

Versions affectéesApache Axis2/Java jusqu’à 2.0.1 inclus

Version corrigée2.0.2

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-11-09T11:17:23.920Z

Mise à jour2026-11-09T11:17:23.920Z

Détection / vérification

Repérer les déploiements Apache Axis2/Java jusqu’à 2.0.1 et examiner l’exposition des endpoints WS-Addressing.

Action recommandée

Mettre à niveau Apache Axis2/Java vers 2.0.2 ; si les réponses non anonymes sont nécessaires, n’autoriser que des destinations de confiance.

Sources

NVD — CVE-2026-123753

Priorisation DFS : P4 · 1 source(s).