Уязвимость некорректной обработки расширения внешних сущностей (XXE) в libxml2, позволяющая вызвать отказ в обслуживании, отправить HTTP-запросы на внутренние серверы или прочитать произвольные файлы
Описание
В libxml2 обнаружена уязвимость, связанная с некорректной обработкой расширения внешних сущностей (XML External Entity, XXE). Если разработчик приложения не использует функции xmlSAX2ResolveEntity или xmlSetExternalEntityLoader, это позволяет удалённым злоумышленникам использовать специально созданный XML-документ для:
- вызова отказа в обслуживании (потребление ресурсов),
- отправки HTTP-запросов на внутренние серверы,
- чтения произвольных файлов
Примечание: можно утверждать, что поскольку libxml2 уже предоставляет возможность отключить расширение внешних сущностей, ответственность за устранение этой проблемы лежит на разработчиках приложений. Согласно этой точке зрения, данная запись может быть отклонена (REJECT), и каждое затронутое приложение должно получить собственный идентификатор CVE.
Затронутые версии ПО
- libxml2 до версии 2.9.1
Тип уязвимости
- XML External Entity (XXE)
- Чрезмерное потребление ресурсов (resource consumption)
- Отказ в обслуживании (DoS)
- Утечка данных
Затронутые пакеты
| Платформа | Пакет | Состояние | Рекомендация | Релиз |
|---|---|---|---|---|
| Red Hat Enterprise Linux 5 | libxml2 | Will not fix | ||
| Red Hat Enterprise Linux 6 | libxml2 | Will not fix | ||
| Red Hat Enterprise Linux 6 | mingw32-libxml2 | Will not fix |
Показывать по
Дополнительная информация
Статус:
4.3 Medium
CVSS2
Связанные уязвимости
libxml2 through 2.9.1 does not properly handle external entities expansion unless an application developer uses the xmlSAX2ResolveEntity or xmlSetExternalEntityLoader function, which allows remote attackers to cause a denial of service (resource consumption), send HTTP requests to intranet servers, or read arbitrary files via a crafted XML document, aka an XML External Entity (XXE) issue. NOTE: it could be argued that because libxml2 already provides the ability to disable external entity expansion, the responsibility for resolving this issue lies with application developers; according to this argument, this entry should be REJECTed and each affected application would need its own CVE.
libxml2 through 2.9.1 does not properly handle external entities expansion unless an application developer uses the xmlSAX2ResolveEntity or xmlSetExternalEntityLoader function, which allows remote attackers to cause a denial of service (resource consumption), send HTTP requests to intranet servers, or read arbitrary files via a crafted XML document, aka an XML External Entity (XXE) issue. NOTE: it could be argued that because libxml2 already provides the ability to disable external entity expansion, the responsibility for resolving this issue lies with application developers; according to this argument, this entry should be REJECTed and each affected application would need its own CVE.
libxml2 through 2.9.1 does not properly handle external entities expan ...
libxml2 through 2.9.1 does not properly handle external entities expansion unless an application developer uses the xmlSAX2ResolveEntity or xmlSetExternalEntityLoader function, which allows remote attackers to cause a denial of service (resource consumption), send HTTP requests to intranet servers, or read arbitrary files via a crafted XML document, aka an XML External Entity (XXE) issue. NOTE: it could be argued that because libxml2 already provides the ability to disable external entity expansion, the responsibility for resolving this issue lies with application developers; according to this argument, this entry should be REJECTed and each affected application would need its own CVE.
Уязвимость библиотеки libxml2, позволяющая нарушителю вызвать отказ в обслуживании или читать произвольные файлы
4.3 Medium
CVSS2