CVE-2017-7664

Apache OpenMeetings — brak walidacji XML (XXE, CWE-611)

CVSS 10.0v3.0pub. 2017-07-17upd. 2026-05-13

Apache OpenMeetings 3.1.0 nie weryfikował poprawnie przesyłanych dokumentów XML, co umożliwia przeprowadzenie ataku typu XML External Entity (XXE). Podatność otrzymała maksymalny wynik CVSS 10.0 i pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie działań o krytycznym wpływie na poufność, integralność i dostępność systemu.

▸ Pokaż oryginał (EN)

Uploaded XML documents were not correctly validated in Apache OpenMeetings 3.1.0.

🤖 Analiza AI

Jak działa

Atakujący przesyła do aplikacji specjalnie spreparowany dokument XML zawierający odwołania do zewnętrznych encji (XML External Entity). Ze względu na brak właściwej walidacji przesyłanych plików XML, parser aplikacji przetwarza te encje, co może prowadzić do odczytu plików lokalnych serwera, inicjowania żądań po stronie serwera (SSRF) lub innych działań wykraczających poza dozwolony zakres. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani interakcji użytkownika.

Skutki

Atakujący może uzyskać dostęp do poufnych danych przechowywanych na serwerze, naruszyć integralność danych oraz spowodować niedostępność usługi. Zakres ataku wykracza poza komponent, w którym istnieje podatność (Scope: Changed).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się aktualizację Apache OpenMeetings do wersji wyższej niż 3.1.0 oraz skonfigurowanie parsera XML tak, aby wyłączyć obsługę zewnętrznych encji (XXE) jako dodatkowy środek ochronny.