PT-2025-10615 · Locals3 · Locals3
Xbow-Security
·
Publicado
2025-03-10
·
Atualizado
2025-07-24
·
CVE-2025-27136
CVSS v4.0
6.9
Média
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do LocalS3 anteriores à 1.21
Descrição
O problema envolve injeção de Entidade Externa XML (XXE) no endpoint de criação de bucket. Ao processar o documento XML CreateBucketConfiguration, o analisador XML do serviço resolve entidades externas sem a validação adequada, permitindo que um atacante declare uma entidade externa que referencie uma URL interna. Isso possibilita ataques de Falsificação de Solicitação no Lado do Servidor (SSRF), efetuando solicitações a serviços ou recursos internos que não deveriam ser acessíveis a partir de redes externas, e potencialmente vazando informações sensíveis.
Recomendações
Para versões anteriores à 1.21, atualize para a versão 1.21 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint de criação de bucket para minimizar o risco de exploração. Evite usar o documento XML CreateBucketConfiguration com entidades externas até que o problema seja resolvido.
Exploit
Correção
XXE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Locals3