CVE-2019-13625

XXE w NSA Ghidra — odczyt plików i możliwy RCE przy otwieraniu projektu

CVSS 9.1v3.0pub. 2019-07-17upd. 2024-11-21

NSA Ghidra w wersjach przed 9.0.1 jest podatna na atak XML External Entity (XXE) wyzwalany podczas otwierania lub przywracania projektu, a także podczas importowania narzędzi. Podatność może prowadzić do nieautoryzowanego odczytu plików systemowych oraz modyfikacji danych, a w pewnych warunkach także do RCE.

▸ Pokaż oryginał (EN)

NSA Ghidra before 9.0.1 allows XXE when a project is opened or restored, or a tool is imported, as demonstrated by a project.prp file.

🤖 Analiza AI

Jak działa

Błąd wynika z niebezpiecznej konfiguracji parsera XML (CWE-611), który przetwarza zewnętrzne encje XML bez ich blokowania. Atakujący może przygotować złośliwy plik projektu (np. project.prp) zawierający odwołania do zewnętrznych encji XML. Gdy ofiara otworzy taki projekt w Ghidrze, parser XML przetworzy zdefiniowane encje, co może spowodować odczyt lokalnych plików lub inicjację połączeń sieciowych po stronie ofiary.

Skutki

Atakujący może odczytywać dowolne pliki dostępne dla procesu Ghidry na systemie ofiary oraz manipulować integralnością danych. W określonych scenariuszach podatność może zostać wykorzystana do osiągnięcia zdalnego wykonania kodu (RCE).

Mitygacja

Należy zaktualizować NSA Ghidra do wersji 9.0.1 lub nowszej. Nie należy otwierać projektów Ghidry ani importować narzędzi pochodzących z niezaufanych źródeł.

Kogo dotyczy

NSA Ghidra w wersjach przed 9.0.1

Uwagi

Podatność może być łańcuchowana do RCE, co zostało opisane w publicznym badaniu dostępnym pod adresem xlab.tencent.com. Wektor ataku wymaga jednak interakcji użytkownika — otwarcia złośliwego pliku projektu.