CVE-2018-8039

Es posible configurar Apache CXF para que use la implementación com.sun.net.ssl a través de "System.setProperty("java.protocol.handler.pkgs" "com.sun.net.ssl.internal.www.protocol");". Cuando se establece esta propiedad de sistema, CXF utiliza determinada reflexión para intentar hacer que HostnameVerifier funcione con la antigua interfaz com.sun.net.ssl.HostnameVerifier. Sin embargo, la implementación predeterminada de HostnameVerifier en CXF no implementa el método en esta interfaz y se lanza una excepción. Sin embargo, en Apache CXF en versiones anteriores a la 3.2.5 y 3.1.16, la excepción queda atrapada en el código de reflexión y no se propaga correctamente. Esto significa que, si está utilizando la pila com.sun.net.ssl con CXF, no se producirá un error con la verificación del nombre de host TLS, lo que dejará a un cliente CXF sujeto a ataques Man-in-the-Middle (MitM).

It was discovered that when Apache CXF is configured to use the system property com.sun.net.ssl.internal.www.protocol ,it uses reflection to make the HostnameVerifier work with old com.sun.net.ssl.HostnameVerifier interface. Although the CXF implementation throws an exception, which is caught in the reflection code but it is not properly propagated, this can lead to a man-in-the-middle attack.