Se ha revelado una vulnerabilidad en Apache CXF, identificada como CVE-2026-44930, que afecta a los servicios XKMS. Este fallo de severidad importante se encuentra en el componente del repositorio de certificados basado en LDAP, lo que podría permitir a atacantes obtener certificados digitales arbitrarios de los sistemas vulnerables.

Una vulnerabilidad recientemente revelada en Apache CXF, identificada como CVE-2026-44930, está generando preocupación entre los usuarios empresariales que confían en sus servicios XKMS (Especificación de Gestión de Claves XML).

El fallo, clasificado como un problema de gravedad importante, afecta al componente del repositorio de certificados basado en LDAP y podría permitir que los atacantes recuperen certificados digitales arbitrarios de los sistemas vulnerables.

Apache CXF se utiliza ampliamente para crear servicios web y gestionar componentes de seguridad, incluyendo el almacenamiento y la recuperación de certificados.

La vulnerabilidad se hizo pública el 22 de mayo de 2026, a través de la lista de correo de desarrolladores de Apache, destacando el riesgo que supone una validación de entrada inadecuada en las consultas LDAP.

Vulnerabilidad de Inyección LDAP en Apache CXF

El problema reside en el módulo del repositorio de certificados LDAP de XKMS, donde una sanitización insuficiente de la entrada proporcionada por el usuario provoca una vulnerabilidad de inyección LDAP.

Los atacantes pueden explotar esta debilidad diseñando consultas maliciosas que manipulen los filtros de búsqueda LDAP del backend. Como resultado, los usuarios no autorizados podrían extraer certificados más allá de su ámbito de acceso previsto.

Aunque la vulnerabilidad no permite directamente la ejecución remota de código, puede debilitar significativamente las infraestructuras de confianza.

Los certificados recuperados mediante la explotación podrían utilizarse para la suplantación de identidad, la interceptación de comunicaciones cifradas o un mayor movimiento lateral dentro de los entornos empresariales.

Las versiones afectadas incluyen Apache CXF 4.2.0 antes de la 4.2.1, de la 4.0.0 a la 4.1.5, y todas las versiones anteriores a la 3.6.11. Las organizaciones que utilizan estas versiones en entornos de producción, especialmente aquellas que integran XKMS para la gestión del ciclo de vida de los certificados, corren un riesgo elevado.

Por ejemplo, un atacante que interactúe con un endpoint de XKMS vulnerable podría inyectar filtros LDAP especialmente diseñados en las solicitudes de búsqueda de certificados, enumerando o extrayendo así certificados pertenecientes a otros usuarios o servicios dentro del directorio.

A través de la lista de correo de desarrolladores de Apache, la Fundación Apache confirmó los lanzamientos parcheados de Apache CXF 4.2.1, 4.1.6 y 3.6.11 que solucionan el problema.

Estas actualizaciones introducen una validación de entrada adecuada y un manejo seguro de las consultas LDAP para prevenir ataques de inyección. Se recomienda encarecidamente a los equipos de seguridad que actualicen inmediatamente a las últimas versiones parcheadas.

Además del parcheo, debes revisar tus controles de acceso LDAP, monitorizar los registros de acceso a los certificados en busca de actividad inusual y restringir, siempre que sea posible, la exposición externa de los servicios XKMS.

Esta vulnerabilidad pone de relieve el riesgo continuo que suponen los fallos de inyección en los componentes de middleware empresariales. Incluso en los marcos de trabajo modernos, el manejo incorrecto de las consultas de directorio puede exponer activos criptográficos sensibles.