PT-2022-5710 · Npm+2 · Xmldom+2

Mark Gollnick · Publicado 2022-10-30 · Atualizado 2023-05-24 · CVE-2022-39353

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do xmldom anteriores à 0.7.7

Versões do xmldom anteriores à 0.8.4

Versões do xmldom anteriores à 0.9.0-beta.4

Descrição

O problema está relacionado ao módulo xmldom, que é um módulo DOMParser e XMLSerializer do XML DOM Level 2 Core, baseado no padrão W3C e escrito inteiramente em JavaScript. Ele analisa XML que não está bem formado, pois contém vários elementos de nível superior, e adiciona todos os nós raiz à coleção childNodes do Document, sem relatar nenhum erro ou lançar uma exceção. Isso viola a suposição de que existe apenas um único nó raiz na árvore. A vulnerabilidade pode permitir que um invasor remoto obtenha acesso não autorizado ao aplicativo enviando dados especialmente criados.

Recomendações

Atualize para @xmldom/xmldom@~0.7.7

Atualize para @xmldom/xmldom@~0.8.4 (dist-tag latest)

Atualize para @xmldom/xmldom@>=0.9.0-beta.4 (dist-tag next)

Como solução alternativa temporária, considere pesquisar elementos apenas no documentElement em vez de em todo o DOM, ou rejeite um documento com mais de um childNode.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-1288

CWE-20

Identificadores relacionados

AZL-38671

BDU:2022-07108

CVE-2022-39353

DLA-3260-1

GHSA-CRH6-FP67-6883

USN-6102-1

Produtos afetados

Linuxmint

Ubuntu

Xmldom

Referências · 32

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/39xxx/CVE-2022-39353.json · Exploit
• 🔥 https://github.com/jindw/xmldom/issues/150 · Exploit
• 🔥 https://github.com/doyensec/CVE-2022-39299_PoC_Generator · Exploit
• https://github.com/xmldom/xmldom · Nota
• https://github.com/xmldom/xmldom/security/advisories/GHSA-crh6-fp67-6883 · Nota
• https://github.com/xmldom/xmldom/releases/tag/0.8.4 · Nota
• https://github.com/xmldom/xmldom/commit/7ff7c10ab2961703ac1752e95b4ff60ee4ee6643 · Nota
• https://github.com/xmldom/xmldom/commit/c02f786216bed70825f9a351c65e61500f51e931 · Nota
• https://github.com/xmldom/xmldom/releases/tag/0.9.0-beta.4 · Nota
• https://github.com/xmldom/xmldom/commit/52a708360c35aa160fcca8621720d71fd0f95f1a · Nota
• https://github.com/xmldom/xmldom/releases/tag/0.7.7 · Nota
• https://security-tracker.debian.org/tracker/CVE-2022-39353 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-39353 · Aviso do Fabricante
• https://osv.dev/vulnerability/AZL-38671 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-21366 · Aviso do Fabricante