CAPEC-221ДетальныйЧерновик
Раздувание внешних сущностей в сериализованных данных
Данная атака использует свойство замены сущностей в ряде языков сериализации данных (например, XML, YAML и т. д.), при котором значением замены является URI. Специально сформированный файл может содержать ссылку на URI, потребление которого требует значительных ресурсов, что создаёт условие отказа в обслуживании. Это может привести к зависанию, аварийному завершению системы или выполнению произвольного кода в зависимости от URI.
Открыть в каталоге с фильтром CAPEC →Связанные уязвимости
CVE-2023-38490Kirby — это система управления контентом. Уязвимость в версиях до 3.5.8.3, 3.6.6.3, 3.7.5.2, 3.8.4.1 и 3.9.6 затрагивает только сайты Kirby, использующие обработчик данных `Xml` (например, `Data::decode($string, 'xml')`) или метод `Xml::parse()` в коде сайта или плагина. Ядро Kirby не использует ни один из затронутых методов.
Внешние XML-сущности (XXE) — это малоиспользуемая функция в языке разметки XML, которая позволяет включать данные из внешних файлов в структуру XML. Если имя внешнего файла может контролироваться злоумышленником, это становится уязвимостью, которую можно использовать для различных воздействий на систему, таких как раскрытие внутренних или конфиденциальных данных, хранящихся на сервере (раскрытие произвольных файлов), или для выполнения сетевых запросов от имени сервера (подделка запросов на стороне сервера, SSRF).
Метод `Xml::parse()` Kirby использовал константу `LIBXML_NOENT` PHP, которая включала обработку внешних XML-сущностей во время операции синтаксического анализа. Метод `Xml::parse()` используется в обработчике данных `Xml` (например, `Data::decode($string, 'xml')`). И уязвимый метод, и обработчик данных не используются в ядре Kirby. Однако они могут использоваться в коде сайта или плагина, например, для синтаксического анализа RSS-каналов или других XML-файлов. Если эти файлы имеют внешнее происхождение (например, загружены пользователем или получены с внешнего URL-адреса), злоумышленники могут включить внешнюю сущность в XML-файл, который затем будет обработан в процессе синтаксического анализа. Сайты Kirby, которые не используют синтаксический анализ XML в коде сайта или плагина, *не* подвержены уязвимости.
Проблема была исправлена в Kirby 3.5.8.3, 3.6.6.3, 3.7.5.2, 3.8.4.1 и 3.9.6. Во всех упомянутых выпусках разработчики удалили константу `LIBXML_NOENT`, поскольку обработка внешних сущностей выходит за рамки логики синтаксического анализа. Это защищает все случаи использования метода от описанной уязвимости.
CVE-2019-14678SAS XML Mapper 9.45 имеет уязвимость XML External Entity (XXE), которая может быть использована злоумышленниками различными способами. Примеры: чтение локальных файлов, фильтрация файлов вне диапазона, подделка запросов на стороне сервера и/или потенциальные атаки типа "отказ в обслуживании". Эта уязвимость также затрагивает механизм XMLV2 LIBNAME при использовании опции AUTOMAP.
CVE-2018-1000838autopsy версии <= 4.9.0 содержит уязвимость XML External Entity (XXE) в CaseMetadata XML Parser, что может привести к раскрытию конфиденциальных данных, отказу в обслуживании, SSRF, сканированию портов. Эта атака, по-видимому, может быть использована через специально созданный CaseMetadata.
CVE-2018-1000837UML Designer версии <= 8.0.0 содержит уязвимость XML External Entity (XXE) в XML parser для plugins, что может привести к раскрытию конфиденциальных данных, отказу в обслуживании, SSRF, сканированию портов. Эта атака, по-видимому, может быть использована через вредоносный файл plugins.xml.
CVE-2018-1000835KeePassDX версии <= 2.5.0.0beta17 содержит уязвимость XML External Entity (XXE) в kdbx file parser, что может привести к раскрытию конфиденциальных данных, отказу в обслуживании, SSRF, сканированию портов.
CVE-2018-1000831K9Mail версии <= v5.600 содержит уязвимость XML External Entity (XXE) в парсере WebDAV response, что может привести к раскрытию конфиденциальных данных, отказу в обслуживании, SSRF, сканированию портов. Эта атака, по-видимому, может быть использована через вредоносный WebDAV-сервер или перехват ответа от валидного WebDAV-сервера.
CVE-2018-1000830XR3Player версии <= V3.124 содержит уязвимость XML External Entity (XXE) в парсере Playlist, что может привести к раскрытию конфиденциальных данных, отказу в обслуживании, SSRF, сканированию портов.
CVE-2018-1000825FreeCol версии <= nightly-2018-08-22 содержит уязвимость XML External Entity (XXE) в парсере FreeColXMLReader, что может привести к раскрытию конфиденциальных данных, отказу в обслуживании, SSRF, сканированию портов. Эта атака, по-видимому, может быть использована через файл Freecol.
CVE-2018-1000823exist версии <= 5.0.0-RC4 содержит уязвимость XML External Entity (XXE) в XML Parser для REST Server, что может привести к раскрытию конфиденциальных данных, отказу в обслуживании, SSRF, сканированию портов.
CVE-2018-1000822codelibs fess версии до коммита faa265b содержит уязвимость XML External Entity (XXE) в парсере XML-файлов GSA, что может привести к раскрытию конфиденциальных данных, отказу в обслуживании, SSRF, сканированию портов. Эта атака, по-видимому, может быть использована через специально созданные XML-файлы GSA. Эта уязвимость, по-видимому, была исправлена после коммита faa265b.
CVE-2018-1000821MicroMathematics версии до коммита 5c05ac8 содержит уязвимость XML External Entity (XXE) в файлах SMathStudio, что может привести к раскрытию конфиденциальных данных, отказу в обслуживании, SSRF, сканированию портов. Эта атака, по-видимому, может быть осуществлена с помощью специально созданных файлов SMathStudio. Эта уязвимость, по-видимому, была устранена после коммита 5c05ac8.
CVE-2018-1000820neo4j-contrib neo4j-apoc-procedures версии до коммита 45bc09c содержит уязвимость XML External Entity (XXE) в XML-парсере, что может привести к раскрытию конфиденциальных данных, отказу в обслуживании, SSRF, сканированию портов. Эта уязвимость, по-видимому, была устранена после коммита 45bc09c.
CVE-2018-1000652JabRef версии <=4.3.1 содержит уязвимость XML External Entity (XXE) в MsBibImporter XML-парсере, что может привести к раскрытию конфиденциальных данных, отказу в обслуживании, подделке запросов на стороне сервера, сканированию портов. Эта атака, по-видимому, может быть осуществлена с помощью специально созданного MsBib-файла. Эта уязвимость, по-видимому, была устранена после коммита 89f855d.
CVE-2018-1000651Stroom версии <5.4.5 содержит уязвимость XML External Entity (XXE) в XML-парсере, что может привести к раскрытию конфиденциальных данных, отказу в обслуживании, подделке запросов на стороне сервера, сканированию портов. Эта атака, по-видимому, может быть осуществлена с помощью специально созданного XML-файла.
CVE-2018-1000644Eclipse RDF4j версии < 2.4.0 Milestone 2 содержит уязвимость XML External Entity (XXE) в RDF4j XML-парсере, разбирающем RDF-файлы, что может привести к раскрытию конфиденциальных данных, отказу в обслуживании, подделке запросов на стороне сервера, сканированию портов. Эта атака, по-видимому, может быть осуществлена с помощью специально созданного RDF-файла.