CVE-2020-29509

Nieprawidłowe zachowanie przestrzeni nazw XML w pakiecie encoding/xml języka Go

CVSS 9.8v3.1pub. 2020-12-14upd. 2024-11-21

Pakiet encoding/xml w języku Go nie zachowuje poprawnie semantyki prefiksów przestrzeni nazw atrybutów podczas tokenizacji XML. Pozwala to atakującemu na przygotowanie danych wejściowych, które zachowują się w sprzeczny sposób na różnych etapach przetwarzania w aplikacjach korzystających z tej biblioteki.

▸ Pokaż oryginał (EN)

The encoding/xml package in Go (all versions) does not correctly preserve the semantics of attribute namespace prefixes during tokenization round-trips, which allows an attacker to craft inputs that behave in conflicting ways during different stages of processing in affected downstream applications.

🤖 Analiza AI

Jak działa

Podatność wynika z błędu w mechanizmie tokenizacji XML (CWE-115 — Misinterpretation of Input): pakiet encoding/xml nie gwarantuje, że semantyka prefiksów przestrzeni nazw atrybutów jest zachowana w tzw. round-tripie — czyli przy kolejnych operacjach serializacji i deserializacji XML. Atakujący może spreparować dokument XML, który jest interpretowany odmiennie przez różne komponenty tej samej aplikacji (np. walidację i faktyczne przetwarzanie danych). Rozbieżność ta może być wykorzystana do ominięcia kontroli bezpieczeństwa lub wstrzyknięcia nieoczekiwanych wartości do dalszych etapów przetwarzania.

Skutki

Atakujący może ominąć mechanizmy walidacji lub autoryzacji w aplikacjach przetwarzających XML, potencjalnie uzyskując nieautoryzowany dostęp do zasobów, możliwość modyfikacji danych lub zakłócenia działania systemu — co odpowiada pełnemu naruszeniu poufności, integralności i dostępności (CVSS C:H/I:H/A:H).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dla produktów NetApp należy zapoznać się z poradnikiem ntap-20210129-0006. Zaleca się również zastosowanie biblioteki walidacyjnej xml-roundtrip-validator projektu Mattermost jako dodatkowej warstwy ochrony dla aplikacji przetwarzających XML.

Kogo dotyczy

Wszystkie wersje języka Go (pakiet encoding/xml) oraz NetApp Trident — zgodnie z opisem producenta. Podatne są aplikacje downstream korzystające z pakietu encoding/xml do przetwarzania XML.

Uwagi

Podatność dotyczy szerokiej klasy aplikacji (downstream) używających pakietu encoding/xml — rzeczywisty wpływ zależy od sposobu, w jaki dana aplikacja przetwarza i waliduje XML. Projekt Mattermost opublikował dedykowane advisory oraz narzędzie walidacyjne xml-roundtrip-validator.