CVE-2019-3772

Atakujący wysyła do podatnej aplikacji specjalnie spreparowany dokument XML zawierający odwołania do zewnętrznych encji (External Entities). Parser XML w modułach spring-integration-xml lub spring-integration-ws przetwarza te odwołania bez odpowiednich zabezpieczeń, co może skutkować odczytem plików lokalnych, inicjowaniem połączeń sieciowych (SSRF) lub innymi operacjami w kontekście serwera. Podatność jest możliwa do wykorzystania zdalnie, bez uwierzytelnienia i bez interakcji po stronie użytkownika.

Atakujący może uzyskać nieautoryzowany dostęp do poufnych plików systemowych oraz danych aplikacji, a także wywołać efekt SSRF umożliwiający eksplorację wewnętrznej infrastruktury sieciowej. W skrajnych przypadkach możliwe jest naruszenie poufności, integralności i dostępności systemu.

Należy zaktualizować Spring Integration do wersji wyższych niż 4.3.18, 5.0.10 lub 5.1.1, w których wprowadzono poprawkę wyłączającą przetwarzanie zewnętrznych encji XML. Szczegółowe informacje o dostępnych patchach dostępne są pod adresem https://pivotal.io/security/cve-2019-3772. Użytkownicy Oracle Retail Customer Management and Segmentation Foundation powinni zapoznać się z biuletynem Oracle CPU April 2019.

Spring Integration (moduły spring-integration-xml oraz spring-integration-ws) w wersjach 4.3.18, 5.0.10, 5.1.1 oraz starszych, niewspieranych wersjach. Podatność dotyczy również produktów Oracle Retail Customer Management and Segmentation Foundation korzystających z tych modułów.