CVE-2017-12621

Krytyczne

Opublikowano: 28/09/2017(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

Podczas analizy plików Jelly (xml) z użyciem Apache Xerces, jeśli zadeklarowana zostanie niestandardowa encja doctype z encją 'SYSTEM' zawierającą URL, parser spróbuje połączyć się z tym URL. Może to prowadzić do ataków XML External Entity (XXE) w Apache Commons Jelly przed wersją 1.0.1.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do przeprowadzenia ataków XXE, co może prowadzić do ujawnienia poufnych danych lub zdalnego wykonania kodu. Organizacje powinny być świadome ryzyka związanego z nieautoryzowanym dostępem do danych.

Rekomendacja

Zaleca się aktualizację Apache Commons Jelly do wersji 1.0.1 lub nowszej, aby zniwelować ryzyko związane z tą podatnością. Dodatkowo, warto rozważyć ograniczenie możliwości ładowania zewnętrznych encji w plikach XML.

Oryginalny opis (angielski, źródło NVD)

During Jelly (xml) file parsing with Apache Xerces, if a custom doctype entity is declared with a "SYSTEM" entity with a URL and that entity is used in the body of the Jelly file, during parser instantiation the parser will attempt to connect to said URL. This could lead to XML External Entity (XXE) attacks in Apache Commons Jelly before 1.0.1.