CVE-2019-0228

Apache PDFBox — XXE poprzez nieprawidłową inicjalizację parsera XML (XFDF)

CVSS 9.8v3.1pub. 2019-04-17upd. 2024-11-21

Apache PDFBox w wersji 2.0.14 nie inicjalizuje prawidłowo parsera XML, co umożliwia przeprowadzenie ataku XML External Entity (XXE) za pomocą spreparowanego pliku XFDF. Podatność jest krytyczna, ponieważ może prowadzić do ujawnienia danych, zapisu plików lub wykonania żądań po stronie serwera bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

Apache PDFBox 2.0.14 does not properly initialize the XML parser, which allows context-dependent attackers to conduct XML External Entity (XXE) attacks via a crafted XFDF.

🤖 Analiza AI

Jak działa

Atakujący dostarcza specjalnie spreparowany plik XFDF (XML Forms Data Format) przetwarzany przez Apache PDFBox. Ponieważ parser XML nie jest odpowiednio skonfigurowany (brak wyłączenia obsługi zewnętrznych encji), przetwarza on złośliwe deklaracje DTD zawierające odwołania do zewnętrznych zasobów. Umożliwia to odczyt plików lokalnych z systemu plików serwera lub inicjowanie połączeń sieciowych do wewnętrznych zasobów (SSRF). Atak nie wymaga uwierzytelnienia ani interakcji użytkownika.

Skutki

Atakujący może uzyskać dostęp do poufnych plików na serwerze, przeprowadzić atak SSRF w celu skanowania sieci wewnętrznej oraz potencjalnie doprowadzić do całkowitego naruszenia poufności, integralności i dostępności systemu.

Mitygacja

Należy zaktualizować Apache PDFBox do wersji wyższej niż 2.0.14 oraz zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się skonfigurowanie parserów XML tak, aby globalnie wyłączały obsługę zewnętrznych encji XML (ustawienie FEATURE_SECURE_PROCESSING lub disallowDoctypeDecl).

Kogo dotyczy

Apache PDFBox 2.0.14; podatność dotyczy również środowisk korzystających z Apache James oraz dystrybucji Fedora zawierających podatną wersję biblioteki