Функция xmlParserHandlePEReference в parser.c в libxml2 до версии 2.9.2, используемая в Web Listener в Oracle HTTP Server в Oracle Fusion M…
Функция xmlParserHandlePEReference в parser.c в libxml2 до версии 2.9.2, используемая в Web Listener в Oracle HTTP Server в Oracle Fusion Middleware 11.1.1.7.0, 12.1.2.0 и 12.1.3.0 и других продуктах, загружает внешние параметры сущностей независимо от того, включена ли подстановка или проверка сущностей, что позволяет удаленным злоумышленникам вызывать отказ в обслуживании (потребление ресурсов) через специально созданный XML-документ.
Продукт обрабатывает XML-документ, который может содержать XML-сущности с URI, разрешающимися в документы за пределами предусмотренной сферы контроля, из-за чего продукт включает некорректные документы в свой вывод.
https://cwe.mitre.org/data/definitions/611.html →Открыть в коллекции CWE →Данная атака использует свойство замены сущностей в ряде языков сериализации данных (например, XML, YAML и т. д.), при котором значением замены является URI. Специально сформированный файл может содержать ссылку на URI, потребление которого требует значительных ресурсов, что создаёт условие отказа в обслуживании. Это может привести к зависанию, аварийному завершению системы или выполнению произвольного кода в зависимости от URI.
https://capec.mitre.org/data/definitions/221.html →Открыть в коллекции CAPEC →| Продукт | Вендор | Статус |
|---|---|---|
| libxml2 | Отслеживается | |
| libxml2 | Отслеживается | |
| libxml2 | Отслеживается | |
| libxml2 | Отслеживается | |
| fusion_middleware | * | Отслеживается |