CVE-2015-1832

Krytyczne

Opublikowano: 03/10/2016(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

W podatności XXE w kodzie SqlXmlUtil w Apache Derby przed wersją 10.12.1.1, brakujący menedżer bezpieczeństwa Java umożliwia atakującym odczyt dowolnych plików lub wywołanie odmowy usługi poprzez wykorzystanie XmlVTI i typu danych XML.

Ocena ryzyka

Atakujący mogą uzyskać dostęp do wrażliwych danych lub spowodować zużycie zasobów systemowych, co może prowadzić do przestojów w działaniu aplikacji.

Rekomendacja

Zaleca się aktualizację Apache Derby do wersji 10.12.1.1 lub nowszej oraz wdrożenie menedżera bezpieczeństwa Java w celu zminimalizowania ryzyka.

Oryginalny opis (angielski, źródło NVD)

XML external entity (XXE) vulnerability in the SqlXmlUtil code in Apache Derby before 10.12.1.1, when a Java Security Manager is not in place, allows context-dependent attackers to read arbitrary files or cause a denial of service (resource consumption) via vectors involving XmlVTI and the XML datatype.