XML 外部实体引用 (XXE) 漏洞可能导致 gematik app-referencevalidator 中的服务器端请求伪造攻击 (CVE-2024-46984)

admin 2024-09-22 23:09:41 Ali_nvd 来源:ZONE.CI 全球网 0 阅读模式
XML 外部实体引用 (XXE) 漏洞可能导致 gematik app-referencevalidator 中的服务器端请求伪造攻击 (CVE-2024-46984)

CVE编号

CVE-2024-46984

利用情况

暂无

补丁情况

N/A

披露时间

2024-09-20
漏洞描述
参考验证器是用于执行针对TI应用程序和互操作性标准的FHIR资源的高级验证的工具。参考验证器公共包中的配置文件位置存在漏洞,容易受到“XML外部实体”攻击的影响,这是由于所使用的Woodstox WstxInputFactory存在不安全默认设置导致的。恶意XML资源可能导致参考验证器发出的网络请求,从而引发“服务器端请求伪造”攻击。使用参考验证器处理来自不可信源的XML资源的应用程序会受到此漏洞的影响。该问题已在参考验证器的2.5.1版本中进行了修复。强烈建议用户更新到此版本或更高版本。对输入XML资源中的DTD定义或外部实体进行预处理或手动分析可以缓解这个问题。
解决建议
建议您更新当前系统或软件至最新版,完成漏洞的修复。
参考链接
https://cheatsheetseries.owasp.org/cheatsheets/XML_External_Entity_Prevention...
https://github.com/gematik/app-referencevalidator/releases/tag/2.5.1
https://github.com/gematik/app-referencevalidator/security/advisories/GHSA-68...
https://owasp.org/www-community/attacks/Server_Side_Request_Forgery
https://owasp.org/www-project-top-ten/2017/A4_2017-XML_External_Entities_(XXE)
https://owasp.org/www-project-top-ten/2017/A4_2017-XML_External_Entities_(XXE)#
CVSS3评分 N/A
  • 攻击路径 N/A
  • 攻击复杂度 N/A
  • 权限要求 N/A
  • 影响范围 N/A
  • 用户交互 N/A
  • 可用性 N/A
  • 保密性 N/A
  • 完整性 N/A
N/A
CWE-ID 漏洞类型
CWE-611 XML外部实体引用的不恰当限制(XXE)
- avd.aliyun.com
weinxin
版权声明
本站原创文章转载请注明文章出处及链接,谢谢合作!
评论:0   参与:  0