PT-2020-3788 · Oracle+2 · Jaxp+3
Chess Hazlett
·
Publicado
2020-08-27
·
Atualizado
2022-02-15
·
CVE-2020-14338
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
**Nome do software vulnerável e versões afetadas:
Versões do WildFly anteriores à 2.12.0.SP3
Versões do Xerces JBoss anteriores à 2.12.0.SP3
Descrição:
O problema está relacionado à validação insuficiente de entradas na classe XMLSchemaValidator do componente JAXP no WildFly. Isso permite que um invasor remoto manipule o processo de validação usando um arquivo XML especialmente criado, o que pode levar ao acesso não autorizado aos dados. A falha é semelhante a uma encontrada no OpenJDK e afeta o recurso “use-grammar-pool-only”.
Recomendações:
Para versões do WildFly anteriores à 2.12.0.SP3, atualize para a versão 2.12.0.SP3 ou posterior para resolver o problema.
Para versões do Xerces JBoss anteriores à 2.12.0.SP3, atualize para a versão 2.12.0.SP3 ou posterior para resolver o problema.
Como solução temporária, considere restringir o uso da classe XMLSchemaValidator no componente JAXP até que um patch esteja disponível.
Correção
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jaxp
Openjdk
Wildfly
Xerces