Marta Rybczynska

**Nome do software vulnerável e versões afetadas** Eclipse Dataspace Components, versões 0.1.3 a 0.9.0 **Descrição** A vulnerabilidade diz respeito ao componente Connector do Eclipse Dataspace Components, responsável por filtrar conjuntos de dados que terceiros podem visualizar em um catálogo solicitado. No entanto, existe a possibilidade de solicitar um único conjunto de dados sem a filtragem correta, o que pode permitir que terceiros visualizem conjuntos de dados aos quais não deveriam ter acesso e expor informações confidenciais. A exploração dessa vulnerabilidade requer o conhecimento do ID de um conjunto de dados restrito, mas alguns IDs podem ser adivinhados por meio de tentativas automatizadas. **Recomendações** Para as versões 0.1.3 a 0.9.0 do Eclipse Dataspace Components, aplique a correção imediatamente para mitigar os riscos. Como solução alternativa temporária, considere restringir o acesso à função `DatasetResolverImpl` até que uma correção esteja disponível. Evite usar o código afetado na função `DatasetResolverImpl`, especificamente as linhas 76 a 79, até que a vulnerabilidade seja resolvida.

**Nome do software vulnerável e versões afetadas** Componentes do Eclipse Dataspace, versões 0.5.0 a 0.9.0 **Descrição** O problema está relacionado ao componente ConsumerPullTransferTokenValidationApiController, que possui procedimentos de autenticação inadequados. Isso permite que um invasor remoto contorne a verificação de expiração do token. A vulnerabilidade requer um dataplane configurado para suportar pull do consumidor via proxy HTTP e inclui o módulo “transfer-data-plane”. O código afetado foi marcado como obsoleto a partir da versão 0.6.0 em favor do Dataplane Signaling e foi removido na versão 0.9.0. **Recomendações** Para as versões 0.5.0 a 0.8.0 do Eclipse Dataspace Components, atualize para a versão 0.9.0 ou posterior para resolver o problema. Para o Eclipse Dataspace Components versão 0.9.0, nenhuma ação é necessária, pois o código vulnerável foi removido. Como solução alternativa temporária, considere desativar a função `ConsumerPullTransferTokenValidationApiController` até que um patch esteja disponível. Restrinja o acesso ao módulo `transfer-data-plane` para minimizar o risco de exploração.

**Name of the Vulnerable Software and Affected Versions** Eclipse Memory Analyzer versions 0.7 to 1.14.0 **Description** The issue arises from the lack of filtering in report definition XML files to prohibit document type definition (DTD) references to external entities. If a user uses a malicious report definition XML file containing an external entity reference to generate a report, Eclipse Memory Analyzer may access external files or URLs defined via a DTD in the report definition. **Recommendations** For Eclipse Memory Analyzer versions 0.7 to 1.14.0, as a temporary workaround, consider disabling the use of external entity references in report definition XML files until a patch is available. Restrict access to report definition XML files to minimize the risk of exploitation. Avoid using report definition XML files from untrusted sources. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Eclipse OpenJ9 versions prior to 0.41.0 **Description** The issue is related to a denial of service caused by a flaw when a shutdown signal (SIGTERM, SIGINT or SIGHUP) is received before the JVM has finished initializing. This can lead to an infinite busy hang on a spinlock or a segmentation fault. A local authenticated attacker could exploit this by sending a specially crafted request. **Recommendations** For Eclipse OpenJ9 versions prior to 0.41.0, update to version 0.41.0 or later to resolve the issue. As a temporary workaround, consider implementing signal handling mechanisms to prevent shutdown signals from being received before the JVM has finished initializing. Restrict access to the JVM during the initialization phase to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** Eclipse Parsson versions prior to 1.1.4 Eclipse Parsson versions prior to 1.0.5 **Description** Parsing JSON from untrusted sources can lead to exploitation due to edge cases in Java's built-in support for parsing numbers with large scales, resulting in unexpectedly large processing times. **Recommendations** For Eclipse Parsson versions prior to 1.1.4, update to version 1.1.4 or later to mitigate the risk. For Eclipse Parsson versions prior to 1.0.5, update to version 1.0.5 or later to mitigate the risk.