CVE-2017-12620

Apache OpenNLP — podatność XXE przy ładowaniu modeli i słowników XML

CVSS 9.8v3.0pub. 2017-10-03upd. 2026-05-13

Apache OpenNLP w wersjach od 1.5.0 do 1.8.1 jest podatne na atak XXE (XML External Entity) podczas przetwarzania plików XML zawierających modele lub słowniki. Błąd umożliwia atakującemu odczyt plików z serwera, eksfiltrację danych lub wykonanie zapytań do wewnętrznych zasobów sieciowych.

▸ Pokaż oryginał (EN)

When loading models or dictionaries that contain XML it is possible to perform an XXE attack, since Apache OpenNLP is a library, this only affects applications that load models or dictionaries from untrusted sources. The versions 1.5.0 to 1.5.3, 1.6.0, 1.7.0 to 1.7.2, 1.8.0 to 1.8.1 of Apache OpenNLP are affected.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej konfiguracji parsera XML (CWE-611), który nie blokuje zewnętrznych encji XML. Gdy aplikacja ładuje model lub słownik z niezaufanego źródła, odpowiednio spreparowany plik XML może zawierać odwołania do zewnętrznych encji. Parser przetwarza te odwołania, co pozwala atakującemu na odczyt lokalnych plików systemowych lub wykonanie zapytań do wewnętrznych usług sieciowych (SSRF). Podatność dotyka wyłącznie aplikacji korzystających z biblioteki Apache OpenNLP, które wczytują dane XML z niezaufanych źródeł.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych plików systemu operacyjnego lub wykonać zapytania SSRF do zasobów wewnętrznej sieci, co prowadzi do naruszenia poufności, integralności i dostępności danych.

Mitygacja

Należy zaktualizować Apache OpenNLP do wersji wyższej niż 1.8.1. Szczegółowe informacje dotyczące patcha dostępne są w referencjach producenta pod adresem http://opennlp.apache.org/news/cve-2017-12620.html. Dodatkowo zaleca się, aby aplikacje korzystające z biblioteki nie ładowały modeli ani słowników XML z niezaufanych źródeł.