CVE-2018-1000844

XXE w Squareup Retrofit umożliwiające odczyt plików i SSRF

CVSS 9.1v3.0pub. 2018-12-20upd. 2024-11-21

Square Open Source Retrofit w wersjach przed commitem 4a693c5aeeef2be6c7ecf80e7b5ec79f6ab59437 zawiera podatność XML External Entity (XXE) w komponencie JAXB. Pozwala ona atakującemu zdalnie odczytywać pliki z systemu plików serwera oraz wykonywać ataki typu SSRF.

▸ Pokaż oryginał (EN)

Square Open Source Retrofit version Prior to commit 4a693c5aeeef2be6c7ecf80e7b5ec79f6ab59437 contains a XML External Entity (XXE) vulnerability in JAXB that can result in An attacker could use this to remotely read files from the file system or to perform SSRF.. This vulnerability appears to have been fixed in After commit 4a693c5aeeef2be6c7ecf80e7b5ec79f6ab59437.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej konfiguracji parsera JAXB, który przetwarza zewnętrzne encje XML (XML External Entities) bez ich odpowiedniego blokowania. Atakujący może dostarczyć spreparowany dokument XML zawierający odwołania do zewnętrznych encji, wskazujących na lokalne pliki systemowe lub wewnętrzne zasoby sieciowe. Parser przetwarza te encje i zwraca ich zawartość w odpowiedzi, co umożliwia nieautoryzowany dostęp do wrażliwych danych lub inicjowanie żądań sieciowych w imieniu serwera (SSRF).

Skutki

Atakujący może zdalnie odczytywać dowolne pliki z systemu plików serwera (np. pliki konfiguracyjne, klucze, dane uwierzytelniające) oraz wykonywać żądania SSRF do wewnętrznej infrastruktury sieciowej, omijając tym samym mechanizmy kontroli dostępu.

Mitygacja

Należy zaktualizować Retrofit do wersji zawierającej commit 4a693c5aeeef2be6c7ecf80e7b5ec79f6ab59437 lub nowszy. Szczegóły dostępne w referencji producenta: https://github.com/square/retrofit/pull/2735.

Kogo dotyczy

Square Open Source Retrofit we wszystkich wersjach przed commitem 4a693c5aeeef2be6c7ecf80e7b5ec79f6ab59437.

Uwagi

Podatność została naprawiona poprzez konkretny commit w repozytorium GitHub projektu Retrofit (4a693c5aeeef2be6c7ecf80e7b5ec79f6ab59437). Atak nie wymaga uwierzytelnienia ani interakcji użytkownika, co podnosi ryzyko eksploatacji.