CVE-2012-3363
CriticalSummary
Zend_XmlRpc w Zend Framework 1.x przed wersją 1.11.12 oraz 1.12.x przed wersją 1.12.0 nieprawidłowo obsługuje klasy SimpleXMLElement, co pozwala zdalnym atakującym na odczyt dowolnych plików lub nawiązywanie połączeń TCP poprzez odniesienie do zewnętrznego bytu w elemencie DOCTYPE w żądaniu XML-RPC, co jest znane jako atak wstrzykiwania XXE.
Risk Assessment
Podatność ta może prowadzić do ujawnienia wrażliwych danych lub umożliwić atakującym nawiązywanie nieautoryzowanych połączeń, co stwarza poważne zagrożenie dla bezpieczeństwa systemów organizacji.
Recommendation
Zaleca się aktualizację Zend Framework do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie odpowiednich zabezpieczeń w celu ochrony przed atakami XXE.
Original NVD description (English source)
Zend_XmlRpc in Zend Framework 1.x before 1.11.12 and 1.12.x before 1.12.0 does not properly handle SimpleXMLElement classes, which allows remote attackers to read arbitrary files or create TCP connections via an external entity reference in a DOCTYPE element in an XML-RPC request, aka an XML external entity (XXE) injection attack.