PT-2022-16967 · Xwiki · Xwiki-Commons-Xml
Petrus Viet
·
Publicado
2022-04-28
·
Atualizado
2022-05-10
·
CVE-2022-24898
CVSS v3.1
4.9
Média
| Vetor | AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
xwiki-commons-xml versões 2.7 a 12.10.9
xwiki-commons-xml versões 13.0.0 a 13.4.3
xwiki-commons-xml versões 13.8-rc-0 e anteriores
Descrição
A vulnerabilidade permite que um script acesse qualquer arquivo acessível ao usuário que estiver executando o servidor de aplicativos XWiki por meio de injeção de entidade externa XML (XML External Entity Injection) através do serviço de scripts XML. Isso pode ser feito explorando o serviço de scripts XML, por exemplo, usando um script
velocity que defina uma variável xxe payload com uma carga XML maliciosa, que inclui uma entidade que faz referência a um arquivo local, como file:///etc/passwd. O script então analisa essa carga usando a função xml.parse() e serializa o resultado usando xml.serialize(). O número estimado de dispositivos potencialmente afetados não foi fornecido.Recomendações
Para as versões 2.7 a 12.10.9 do xwiki-commons-xml, atualize para a versão 12.10.10 ou posterior.
Para as versões 13.0.0 a 13.4.3 do xwiki-commons-xml, atualize para a versão 13.4.4 ou posterior.
Para as versões 13.8-rc-0 e anteriores do xwiki-commons-xml, atualize para a versão 13.8-rc-1 ou posterior.
Como medida de mitigação geral, tenha cuidado ao conceder direitos de Script para minimizar o risco de exploração.
Exploit
Correção
XXE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Xwiki-Commons-Xml