PT-2021-4202 · Apache · Apache Jena

Andy Seaborne · Publicado 2021-09-16 · Atualizado 2021-10-06 · CVE-2021-39239

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Jena até a 4.1.0

Descrição

Uma vulnerabilidade no processamento de XML pode permitir que um invasor execute Entidades Externas XML (XXE), incluindo a exposição do conteúdo de arquivos locais a um servidor remoto. O problema está relacionado à restrição incorreta de links XML para objetos externos, o que pode ser explorado por um invasor remoto para divulgar informações protegidas.

Recomendações

Para versões até 4.1.0, atualize para uma versão posterior à 4.1.0 para resolver o problema. Como solução temporária, considere restringir o processamento de XML para minimizar o risco de exploração. Evite usar Entidades Externas XML (XXE) no processamento de XML até que o problema seja resolvido.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

BDU:2021-04799

CVE-2021-39239

GHSA-7RP6-W7MG-H8RW

Produtos afetados

Apache Jena

Referências · 23

• https://lists.apache.org/thread.html/r0f03ae7e102c3e8587fdd36531fc167309335738156dfbd7d9c1bf45@%3Cdev.jena.apache.org%3E · Nota
• https://lists.apache.org/thread.html/rf44d529c54ef1d0097e813f576a0823a727e1669a9f610d3221d493d@%3Cannounce.apache.org%3E · Nota
• https://lists.apache.org/thread.html/rce5241b228a1f0e5880f6b2bfdb7ae9ee420e94cb692738a0bbfed9d%40%3Cdev.jena.apache.org%3E · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-39239 · Nota de Segurança
• https://ubuntu.com/security/CVE-2021-39239 · Aviso do Fabricante
• https://t.me/cybersecuritytechnologies/4454 · Publicação no Telegram
• https://security-tracker.debian.org/tracker/CVE-2021-39239 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-39239 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-7rp6-w7mg-h8rw · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2021-04799 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-39239 · Aviso do Fabricante
• https://lists.apache.org/thread.html/r0f03ae7e102c3e8587fdd36531fc167309335738156dfbd7d9c1bf45%40%3Cdev.jena.apache.org%3E · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-39239 · Aviso do Fabricante
• https://lists.apache.org/thread.html/rf44d529c54ef1d0097e813f576a0823a727e1669a9f610d3221d493d%40%3Cannounce.apache.org%3E · Nota
• https://cybersecurity-help.cz/vdb/SB2021091620 · Nota