PT-2020-9930 · Eclipse · Eclipse Web Tools Platform

David Dworken + 1 · Publicado 2020-07-15 · Atualizado 2023-01-27 · CVE-2019-17637

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões da Eclipse Web Tools Platform anteriores à 3.18 (2020-06)

Descrição

A vulnerabilidade permite que arquivos XML e DTD que fazem referência a entidades externas sejam explorados, enviando o conteúdo de arquivos locais para um servidor remoto quando editados ou validados. Isso pode ocorrer mesmo quando a resolução de entidades externas estiver desativada nas preferências do usuário.

Recomendações

Para versões da Eclipse Web Tools Platform anteriores à 3.18 (2020-06), considere atualizar para uma versão posterior à 3.18 (2020-06) para resolver o problema. Como solução temporária, restrinja a edição e a validação de arquivos XML e DTD que se referem a entidades externas para minimizar o risco de exploração.

Exploit

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2019-17637

DLA-2404-1

Produtos afetados

Eclipse Web Tools Platform

Referências · 11

• 🔥 https://bugs.eclipse.org/bugs/show_bug.cgi?id=458571 · Exploit
• https://lists.debian.org/debian-lts-announce/2020/10/msg00016.html · Nota
• https://ubuntu.com/security/CVE-2019-17637 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2019-17637 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2019-17637 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2019-17637 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2019-17637 · Aviso do Fabricante
• https://osv.dev/vulnerability/DLA-2404-1 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2019-17637 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2019-17637 · Aviso do Fabricante
• https://t.me/cvenotify/5035 · Publicação no Telegram