PT-2024-40236 · Libxml2+1 · Libxml2+1
Publicado
2024-05-29
·
Atualizado
2024-05-29
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas:
Zend Framework 2 (versões afetadas não especificadas)
Descrição:
O problema diz respeito a uma vulnerabilidade a ataques de expansão de entidade XML (XEE), especificamente ataques de explosão quadrática, em software que utiliza a libxml2. Essa vulnerabilidade permite ataques de negação de serviço contra a RAM de um host, definindo uma entidade longa e referindo-se a ela várias vezes em elementos do documento, criando um dreno de memória. O uso de certas opções, como LIBXML NOENT, pode amplificar o impacto, e a defesa da libxml2 contra ataques XEE relacionados, como os de tipo Exponential ou Billion Laugh, só fica ativa quando a opção LIBXML PARSEHUGE não está definida.
Recomendações:
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
XXE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Zend Framework 2
Libxml2