BDU:2025-04265

Опубликовано: 10 мая 2017

Источник: fstec

CVSS3: 8.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость компонента XML parsers средства разработки программного обеспечения iText связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, проводить XXE-атаки путем отправки специально созданного вредоносного PDF-файла

Вендор

Oracle Corp.

iText Group

HP Inc.

Наименование ПО

Primavera Unifier

iText

HPE Intelligent Management Center

Версия ПО

16.2 (Primavera Unifier)

16.1 (Primavera Unifier)

18.8 (Primavera Unifier)

19.12 (Primavera Unifier)

от 17.7 до 17.12 включительно (Primavera Unifier)

до 5.5.12 (iText)

до 7.0.3 (iText)

до PLAT 7.3 E0605P04 (HPE Intelligent Management Center)

Тип ПО

Прикладное ПО информационных систем

Сетевое программное средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Обновление программного обеспечения до версий 5.5.12, 7.0.3 и выше.

Использование рекомендаций:

Для HPE Inc.:

https://support.hpe.com/hpesc/public/docDisplay?docLocale=en_US&docId=emr_na-hpesbhf03902en_us

Для программных продуктов Oracle Corp.:

https://www.oracle.com/security-alerts/cpuoct2020.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-9096
CVE

EPSS

Процентиль: 92%

0.08838

Низкий

8.8 High

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2017-9096

CVSS3: 6.5

redhat

больше 8 лет назад

The XML parsers in iText before 5.5.12 and 7.x before 7.0.3 do not disable external entities, which might allow remote attackers to conduct XML external entity (XXE) attacks via a crafted PDF.

CVE-2017-9096

CVSS3: 8.8

nvd

около 8 лет назад

The XML parsers in iText before 5.5.12 and 7.x before 7.0.3 do not disable external entities, which might allow remote attackers to conduct XML external entity (XXE) attacks via a crafted PDF.

GHSA-86p9-x5pw-94qx

CVSS3: 8.8

github

больше 3 лет назад

Improper Restriction of XML External Entity Reference in iText

EPSS

Процентиль: 92%

0.08838

Низкий

8.8 High

CVSS3

10 Critical

CVSS2