PT-2021-22207 · Any23 · Any23

Zhuxuan Wu · Publicado 2021-09-11 · Atualizado 2021-09-23 · CVE-2021-38555

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Any23 anteriores à 2.5

Descrição

Foi descoberta uma vulnerabilidade de injeção de entidade externa XML (XXE) no arquivo StreamUtils.java do Any23. Trata-se de uma vulnerabilidade de segurança web que permite que um invasor interfira no processamento de dados XML por parte de um aplicativo, possibilitando que ele visualize arquivos no sistema de arquivos do servidor do aplicativo e interaja com sistemas back-end ou externos acessíveis pelo aplicativo.

Recomendações

Para versões anteriores à 2.5, atualize para a versão 2.5 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o processamento de dados XML para minimizar o risco de exploração.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2021-38555

GHSA-838R-HVWH-24H8

Produtos afetados

Any23

Referências · 6

• https://github.com/apache/any23 · Nota
• https://osv.dev/vulnerability/CVE-2021-38555 · Aviso do Fabricante
• https://lists.apache.org/thread.html/r589d1a9f94dbeee7a0f5dbe8513a0e300dfe669bd964ba2fbfe28e07%40%3Cannounce.apache.org%3E · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-38555 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-838r-hvwh-24h8 · Aviso do Fabricante
• https://t.me/cibsecurity/28699 · Publicação no Telegram