PT-2024-32318 · Unknown · Referencevalidator+1

Alexey-Tschudnowsky · Publicado 2024-09-19 · Atualizado 2024-09-25 · CVE-2024-46984

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do referencevalidator anteriores à 2.5.1

Descrição

A rotina de localização de perfis no pacote commons do referencevalidator está vulnerável a ataques de Entidades Externas XML devido a configurações padrão inseguras do Woodstox WstxInputFactory utilizado. Um recurso XML malicioso pode levar à emissão de solicitações de rede pelo referencevalidator e, consequentemente, a um ataque de Falsificação de Solicitação do Lado do Servidor. A vulnerabilidade afeta aplicativos que utilizam o referencevalidator para processar recursos XML de fontes não confiáveis.

Recomendações

Para versões anteriores à 2.5.1, atualize para a versão 2.5.1 ou uma mais recente para resolver o problema.

Como solução alternativa temporária, considere o pré-processamento ou a análise manual dos recursos XML de entrada para verificar a existência de definições DTD ou entidades externas, a fim de mitigar o problema.

Exploit

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2024-46984

GHSA-68J8-FP38-P48Q

Produtos afetados

Woodstox Wstxinputfactory

Referencevalidator

Referências · 19

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/46xxx/CVE-2024-46984.json · Exploit
• https://github.com/gematik/app-referencevalidator/releases/tag/2.5.1 · Nota
• https://github.com/gematik/app-referencevalidator/security/advisories/GHSA-68j8-fp38-p48q · Aviso do Fabricante
• https://github.com/gematik/app-referencevalidator · Nota
• https://github.com/gematik/app-referencevalidator/commit/d6d27613fab7a8dd08534946f29e0c51f319cad6 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-46984 · Nota de Segurança
• https://twitter.com/CVEnew/status/1836900982296543621 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1837051023338135886 · Publicação no Twitter
• https://owasp.org/www-community/attacks/Server_Side_Request_Forgery · Nota
• https://t.me/cvenotify/95375 · Publicação no Telegram
• https://twitter.com/CveFindCom/status/1836903586007032094 · Publicação no Twitter
• https://t.me/cvedetector/6081 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-46984 · Aviso do Fabricante
• https://twitter.com/cracbot/status/1838458418119741643 · Publicação no Twitter
• https://owasp.org/www-project-top-ten/2017/A4_2017-XML_External_Entities_(XXE)# · Nota