CVE-2019-3773

Atakujący wysyła do aplikacji opartej na Spring Web Services specjalnie spreparowany dokument XML zawierający odwołania do zewnętrznych encji (External Entity). Parser XML, o ile nie jest odpowiednio zabezpieczony, przetwarza te odwołania i może odczytywać lokalne pliki systemowe, wysyłać zapytania do wewnętrznych zasobów sieciowych (SSRF) lub ujawniać inne wrażliwe dane. Atak nie wymaga uwierzytelnienia ani interakcji użytkownika, a wektor sieciowy (AV:N) sprawia, że jest możliwy do przeprowadzenia zdalnie przez dowolnego użytkownika mogącego przesłać dane XML do aplikacji.

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych (np. plików konfiguracyjnych, haseł), przeprowadzić atak SSRF na wewnętrzną infrastrukturę, a w określonych warunkach doprowadzić do odmowy działania usługi lub wykonania dalszych działań kompromitujących system.

Należy zaktualizować Spring Web Services do wersji wyższych niż 2.4.3 lub 3.0.4 zgodnie z zaleceniami Pivotal (https://pivotal.io/security/cve-2019-3773). Użytkownicy produktów Oracle powinni zastosować patche wskazane w biuletynach bezpieczeństwa Oracle CPU (styczeń 2021, kwiecień 2021, lipiec 2021). Jako środek doraźny należy wyłączyć obsługę zewnętrznych encji XML (External Entity Processing) w parserze XML używanym przez aplikację.

Pivotal Software Spring Web Services w wersjach 2.4.3, 3.0.4 oraz wszystkich starszych, niewspieranych wersjach. Podatność dotyczy również produktów Oracle: Financial Services Analytical Applications Infrastructure, Flexcube Private Banking — w wersjach wskazanych w referencjach producenta Oracle.

Podatność została opublikowana 18 stycznia 2019 roku. Dotyczy wszystkich trzech gałęzi projektu Spring Web Services wymienionych w opisie (w tym nieobsługiwanych już wersji), co zwiększa zasięg zagrożenia w środowiskach korzystających z niezaktualizowanego oprogramowania.