PT-2022-2076 · Apache · Any23

Liontree0110 · Publicado 2022-03-04 · Atualizado 2022-03-12 · CVE-2022-25312

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.4

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Any23 anteriores à 2.7

Descrição

Foi descoberta uma vulnerabilidade de injeção de entidade externa XML (XXE) no extrator Any23 RDFa XSLTStylesheet. Essa vulnerabilidade permite que um invasor interfira no processamento de dados XML por parte de um aplicativo, possibilitando que ele visualize arquivos no sistema de arquivos do servidor do aplicativo e interaja com sistemas back-end ou externos aos quais o aplicativo tenha acesso.

Recomendações

Para versões anteriores à 2.7, atualize para o Apache Any23 2.7 para resolver o problema. Como solução temporária, considere restringir o uso da classe extractor.rdfa.XSLTStylesheet até que um patch esteja disponível.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

BDU:2022-01899

CVE-2022-25312

GHSA-2RMM-87V7-34RJ

Produtos afetados

Any23

Referências · 9

• https://github.com/apache/any23/blob/any23-2.7/RELEASE-NOTES.md · Nota
• https://github.com/apache/any23 · Nota
• https://lists.apache.org/thread/y6cm5n3ksohsrhzqknqhzy7p3mtkyk23 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-25312 · Nota de Segurança
• https://bdu.fstec.ru/vul/2022-01899 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-2rmm-87v7-34rj · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-25312 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2022/03/04/2 · Correção
• https://t.me/cibsecurity/38482 · Publicação no Telegram