PT-2024-27967 · Unknown · Cyclonedx-Core-Java
Mr-Zepol
·
Publicado
2024-06-24
·
Atualizado
2025-11-11
·
CVE-2024-38374
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do cyclonedx-core-java anteriores à 9.0.4
Descrição
O módulo principal do CycloneDX fornece uma representação de modelo de SBOMs e utilitários para criá-las, validá-las e analisá-las. Antes de deserializar a Lista de Materiais (BOM) do CycloneDX no formato XML, o
cyclonedx-core-java usa expressões XPath para determinar a versão do esquema. O DocumentBuilderFactory usado para avaliar essas expressões XPath não estava configurado de forma segura, levando a um potencial problema de injeção de Entidade Externa XML (XXE). A injeção de XXE pode ser explorada para extrair o conteúdo de arquivos locais ou realizar uma falsificação de solicitação do lado do servidor (SSRF) para acessar a infraestrutura adjacente. A Prova de Conceito (PoC) fornecida demonstra a possibilidade de um erro de conexão ao tentar acessar um arquivo inexistente por meio de um documento XML malicioso.Recomendações
Atualize o
cyclonedx-core-java para a versão 9.0.4 ou posterior.Exploit
Correção
XXE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Cyclonedx-Core-Java