CVE-2021-23926

Apache XMLBeans — podatność na XML Entity Expansion (XEE)

CVSS 9.1v3.1pub. 2021-01-14upd. 2024-11-21

Apache XMLBeans w wersjach do 2.6.0 włącznie nie konfiguruje parserów XML w sposób chroniący przed złośliwymi danymi wejściowymi, co umożliwia ataki typu XML Entity Expansion. Podatność może prowadzić do ujawnienia danych lub niedostępności usługi (DoS) bez konieczności uwierzytelnienia.

▸ Pokaż oryginał (EN)

The XML parsers used by XMLBeans up to version 2.6.0 did not set the properties needed to protect the user from malicious XML input. Vulnerabilities include possibilities for XML Entity Expansion attacks. Affects XMLBeans up to and including v2.6.0.

🤖 Analiza AI

Jak działa

Parsery XML używane przez bibliotekę XMLBeans nie mają ustawionych właściwości zabezpieczających przed rekurencyjnym lub nadmiernym rozwijaniem encji XML (XML Entity Expansion). Atakujący może dostarczyć specjalnie spreparowany dokument XML zawierający zagnieżdżone encje, których wielokrotne rozwinięcie powoduje wykładniczy wzrost zużycia zasobów systemowych (tzw. atak Billion Laughs). Ponieważ atak nie wymaga uwierzytelnienia ani interakcji użytkownika, każda aplikacja przetwarzająca zewnętrzne dane XML za pomocą podatnej wersji biblioteki jest narażona.

Skutki

Atakujący może spowodować niedostępność usługi (DoS) poprzez wyczerpanie zasobów systemowych lub doprowadzić do ujawnienia informacji, w zależności od kontekstu przetwarzania XML.

Mitygacja

Należy zaktualizować Apache XMLBeans do wersji wyższej niż 2.6.0, w której parsery XML są konfigurowane z właściwościami chroniącymi przed XML Entity Expansion. Użytkownicy produktów NetApp i Debian Linux powinni zastosować patche dostępne u producenta zgodnie z referencjami.

Kogo dotyczy

Apache XMLBeans do wersji 2.6.0 włącznie; produkty korzystające z tej biblioteki: NetApp OnCommand Unified Manager Core Package, NetApp Snap Creator Framework, NetApp SnapManager, a także systemy Debian Linux z podatnymi pakietami.