PT-2021-14572 · Unknown · Srs Policy Manager

Lukasz Plonka · Publicado 2021-03-01 · Atualizado 2021-03-08 · CVE-2021-21517

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:L

Nome do software vulnerável e versões afetadas

SRS Policy Manager versões 6.X

Descrição

O problema está relacionado a uma vulnerabilidade de injeção de entidade externa XML (XXE). Isso ocorre devido a um analisador XML mal configurado que não valida suficientemente a entrada DTD fornecida pelo usuário. Um invasor remoto não autenticado pode explorar essa vulnerabilidade para ler arquivos do sistema como um usuário não root e pode interromper temporariamente o serviço ESRS.

Recomendações

Para as versões 6.X do SRS Policy Manager, certifique-se de que o analisador XML esteja configurado corretamente para validar a entrada DTD fornecida pelo usuário, a fim de evitar ataques XXE. Como solução alternativa temporária, considere restringir o acesso ao analisador XML até que uma configuração adequada ou um patch esteja disponível.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2021-21517

Produtos afetados

Srs Policy Manager

Referências · 3

• https://osv.dev/vulnerability/CVE-2021-21517 · Aviso do Fabricante
• https://dell.com/support/kbdoc/en-us/000183576/dsa-2021-045-dell-emc-srs-policy-manager-security-update-for-external-entity-injection-vulnerability · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21517 · Nota de Segurança