PT-2021-5808 · Apache+3 · Apache Xmlgraphics Commons+3

CVE-2020-11988 · Publicado 2021-02-24 · Atualizado 2025-05-22

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Apache XmlGraphics Commons versões 2.4 e anteriores

Descrição

O problema está relacionado a uma falsificação de solicitação do lado do servidor (SSRF), causada por uma validação inadequada de entradas pelo XMPParser. Um invasor poderia explorar essa vulnerabilidade usando um argumento especialmente criado para fazer com que o servidor subjacente realizasse solicitações GET arbitrárias. Isso poderia permitir que um invasor remoto acessasse dados confidenciais e comprometesse sua integridade.

Recomendações

Para as versões 2.4 e anteriores do Apache XmlGraphics Commons, os usuários devem atualizar para a versão 2.6 ou posterior para resolver o problema. Como solução temporária, considere restringir a validação de entradas para impedir a exploração até que um patch seja aplicado.

Correção

SSRF

RCE

Enumeração de Fraquezas

CWE-918

CWE-20

Identificadores relacionados

ALT-PU-2025-6398

BDU:2022-00276

CVE-2020-11988

GHSA-FMJ2-7WX8-QJ4V

MGASA-2021-0144

OESA-2022-1649

OPENSUSE-SU-2024:12403-1

SUSE-SU-2022:3550-1

SUSE-SU-2022_3550-1

Produtos afetados

Alt Linux

Apache Xmlgraphics Commons

Astra Linux

Suse

Referências · 42

• https://github.com/apache/xmlgraphics-commons/commit/57393912eb87b994c7fed39ddf30fb778a275183 · Nota
• https://github.com/apache/xmlgraphics-commons · Nota
• https://bugs.mageia.org/show_bug.cgi?id=28440 · Nota
• https://openeuler.org/en/security/safety-bulletin/detail.html?id=openEuler-SA-2022-1649 · Nota
• https://xmlgraphics.apache.org/security.html · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-11988 · Aviso do Fabricante
• https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2020-11988 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-00276 · Nota de Segurança
• https://t.me/cvenotify/10987 · Publicação no Telegram
• https://osv.dev/vulnerability/SUSE-SU-2022:3550-1 · Aviso do Fabricante
• https://lists.apache.org/thread.html/r588d05a0790b40a0eb81088252e1e8c1efb99706631421f17038eb05@%3Cdev.poi.apache.org%3E · Nota
• http://xmlgraphics.apache.org/security.html · Nota
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/22HESSYU7T4D6GGENUVEX3X3H6FGBECH · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/JP4XA56DA3BFNRBBLBXM6ZAI5RUVFA33 · Aviso do Fabricante