PT-2024-10160 · Http4K · Http4K

Jacklosingheart · CVE-2024-55875 · Publicado 2024-12-11 · Atualizado 2025-05-03

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do http4k anteriores à 5.41.0.0

Descrição

O problema está relacionado a uma vulnerabilidade XXE (XML External Entity Injection) quando o http4k processa conteúdos XML maliciosos nas solicitações. Isso poderia permitir que invasores lessem informações confidenciais locais no servidor, desencadeassem Server-side Request Forgery e, em algumas circunstâncias, até mesmo executassem código.

Recomendações

Para resolver o problema, atualize para a versão 5.41.0.0 ou posterior, pois essa versão contém um patch para o problema.

Como solução temporária, considere desativar o recurso de análise de XML no http4k até que um patch seja aplicado.

Restrinja o acesso ao módulo de processamento de XML para minimizar o risco de exploração.

Evite usar a função xmlLens no endpoint da API afetado até que o problema seja resolvido.

Exploit

Correção

XXE

SSRF

Information Disclosure

Enumeração de Fraquezas

CWE-611

CWE-918

CWE-200

Identificadores relacionados

BDU:2025-00486

CVE-2024-55875

GHSA-7MJ5-HJJJ-8RGW

Produtos afetados

Http4K

Referências · 26

• 🔥 https://github.com/http4k/http4k/security/advisories/GHSA-7mj5-hjjj-8rgw · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/55xxx/CVE-2024-55875.json · Exploit
• 🔥 https://github.com/JAckLosingHeart/CVE-2024-55875 · Exploit
• https://github.com/http4k/http4k · Nota
• https://github.com/http4k/http4k/commit/35297adc6d6aca4951d50d8cdf17ff87a8b19fbc · Nota
• https://github.com/http4k/http4k/blob/25696dff2d90206cc1da42f42a1a8dbcdbcdf18c/core/format/xml/src/main/kotlin/org/http4k/format/Xml.kt#L42-L46 · Nota
• https://twitter.com/fridaysecurity/status/1868838035368165467 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-55875 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1867549358494822755 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-7mj5-hjjj-8rgw · Aviso do Fabricante
• https://twitter.com/HackingTeam777/status/1868711981018140792 · Publicação no Twitter
• https://twitter.com/the_yellow_fall/status/1868836591017631908 · Publicação no Twitter
• https://twitter.com/ksg93rd/status/1869085679780851719 · Publicação no Twitter
• https://twitter.com/akaclandestine/status/1869667098835968265 · Publicação no Twitter
• https://t.me/cybersecuritytechnologies/11564 · Publicação no Telegram