PT-2024-10160 · Http4K · Http4K

Jacklosingheart · Publicado 2024-12-11 · Atualizado 2025-05-03 · CVE-2024-55875

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do http4k anteriores à 5.41.0.0

Descrição

O problema está relacionado a uma vulnerabilidade XXE (XML External Entity Injection) quando o http4k processa conteúdos XML maliciosos nas solicitações. Isso poderia permitir que invasores lessem informações confidenciais locais no servidor, desencadeassem Server-side Request Forgery e, em algumas circunstâncias, até mesmo executassem código.

Recomendações

Para resolver o problema, atualize para a versão 5.41.0.0 ou posterior, pois essa versão contém um patch para o problema.

Como solução temporária, considere desativar o recurso de análise de XML no http4k até que um patch seja aplicado.

Restrinja o acesso ao módulo de processamento de XML para minimizar o risco de exploração.

Evite usar a função xmlLens no endpoint da API afetado até que o problema seja resolvido.

Exploit

Correção

Information Disclosure

SSRF

XXE

Enumeração de Fraquezas

CWE-200

CWE-918

CWE-611

Identificadores relacionados

BDU:2025-00486

CVE-2024-55875

GHSA-7MJ5-HJJJ-8RGW

Produtos afetados

Http4K

Referências · 26

• 🔥 https://github.com/http4k/http4k/security/advisories/GHSA-7mj5-hjjj-8rgw · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/55xxx/CVE-2024-55875.json · Exploit
• 🔥 https://github.com/JAckLosingHeart/CVE-2024-55875 · Exploit
• https://github.com/http4k/http4k/blob/25696dff2d90206cc1da42f42a1a8dbcdbcdf18c/core/format/xml/src/main/kotlin/org/http4k/format/Xml.kt#L42-L46 · Nota
• https://github.com/http4k/http4k/commit/35297adc6d6aca4951d50d8cdf17ff87a8b19fbc · Nota
• https://github.com/http4k/http4k · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-55875 · Nota de Segurança
• https://twitter.com/HackingTeam777/status/1868711981018140792 · Publicação no Twitter
• https://twitter.com/akaclandestine/status/1869667098835968265 · Publicação no Twitter
• https://twitter.com/PPHM_HackerNews/status/1918460002471125314 · Publicação no Twitter
• https://twitter.com/Dinosn/status/1868976386972828009 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1867291591087452363 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1867286496027545890 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2025-00486 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1867549358494822755 · Publicação no Twitter