Уязвимость 'Неправильное ограничение XML внешней сущности' (XML Injection, также известная как Blind XPath Injection) в Apache Software Fou…

Уязвимость 'Неправильное ограничение XML внешней сущности' (XML Injection, также известная как Blind XPath Injection) в Apache Software Foundation Apache Ivy. Эта проблема затрагивает любую версию Apache Ivy до 2.5.2. Когда Apache Ivy до 2.5.2 анализирует XML файлы - либо свою собственную конфигурацию, файлы Ivy или POM-файлы Apache Maven - он позволит загружать внешние определения типов документов и развивать любые ссылки на сущности, содержащиеся в них при использовании. Это может быть использовано для эксфильтрации данных, доступа к ресурсам, к которым имеет доступ только машина, на которой работает Ivy, или для нарушения выполнения Ivy различными способами. Начиная с Ivy 2.5.2, обработка DTD отключена по умолчанию, за исключением случаев, когда анализируются POM-файлы Maven, где по умолчанию разрешена обработка DTD, но только для включения фрагмента DTD, поставляемого с Ivy, который необходим для работы с существующими POM-файлами Maven, которые не являются действительными XML-файлами, но все же принимаются Maven. Доступ может быть сделан более терпимым через недавно введенные системные параметры, где это необходимо. Пользователи Ivy до версии 2.5.2 могут использовать системные свойства Java для ограничения обработки внешних DTD, см. раздел о "Свойствах JAXP для ограничений внешнего доступа" в руководстве по безопасности "Java API для XML Processing (JAXP)" от Oracle.