CVE-2018-1285

XXE w Apache log4net — atak przez zewnętrzne encje XML

CVSS 9.8v3.1pub. 2020-05-11upd. 2024-11-21

Apache log4net w wersjach przed 2.0.10 nie wyłącza obsługi zewnętrznych encji XML (XXE) podczas parsowania plików konfiguracyjnych. Umożliwia to atakującemu przeprowadzenie ataków XXE w aplikacjach, które akceptują kontrolowane przez niego pliki konfiguracyjne log4net.

▸ Pokaż oryginał (EN)

Apache log4net versions before 2.0.10 do not disable XML external entities when parsing log4net configuration files. This allows for XXE-based attacks in applications that accept attacker-controlled log4net configuration files.

🤖 Analiza AI

Jak działa

Biblioteka log4net, przetwarzając pliki konfiguracyjne w formacie XML, nie blokuje rozwiązywania zewnętrznych encji XML (XML External Entities). Atakujący może dostarczyć spreparowany plik konfiguracyjny zawierający odwołania do zewnętrznych zasobów, takich jak lokalne pliki systemowe lub zdalne serwery. Parser XML przetwarza te odwołania i może ujawnić zawartość plików systemowych lub nawiązać połączenia wychodzące do serwerów kontrolowanych przez atakującego.

Skutki

Atakujący może odczytać dowolne pliki z systemu plików serwera, uzyskać dostęp do wrażliwych danych konfiguracyjnych lub wymusić nawiązanie połączenia sieciowego przez serwer (SSRF), co może prowadzić do naruszenia poufności, integralności i dostępności systemu.

Mitygacja

Należy zaktualizować Apache log4net do wersji 2.0.10 lub nowszej, w której wyłączono obsługę zewnętrznych encji XML podczas parsowania plików konfiguracyjnych. Dla produktów Oracle i Fedora należy zastosować patche dostępne u producenta zgodnie z referencjami.

Kogo dotyczy

Apache log4net w wersjach przed 2.0.10, a także Oracle Application Testing Suite oraz wybrane wersje Fedora Project Fedora korzystające z podatnej wersji biblioteki.