PT-2020-19268 · Sos · Sos Jobscheduler

Oliver Haufe · Publicado 2020-02-06 · Atualizado 2020-02-07 · CVE-2020-6856

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

SOS JobScheduler, versões 1.12 a 1.13.2

Descrição

Existe uma vulnerabilidade no componente JOC Cockpit que permite que invasores leiam arquivos do servidor por meio de uma declaração de entidade em documentos XML utilizados para configurações de tempo de execução de tarefas e ordens.

Recomendações

Para as versões 1.12 a 1.13.2 do SOS JobScheduler, considere desativar o processamento de Entidades Externas XML (XEE) no componente JOC Cockpit até que um patch esteja disponível. Restrinja o acesso a arquivos confidenciais no servidor para minimizar o risco de exploração.

Correção

XML Entity Expansion

Enumeração de Fraquezas

CWE-776

Identificadores relacionados

CVE-2020-6856

Produtos afetados

Sos Jobscheduler

Referências · 3

• https://change.sos-berlin.com/browse/JOC-853 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-6856 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-6856 · Nota de Segurança