Apache XML Security sérülékenységek

CH azonosító

CH-9433

Angol cím

Apache XML Security Multiple Vulnerabilities

Felfedezés dátuma

2013.06.17.

Súlyosság

Magas

Érintett rendszerek

Apache Software Foundation
Apache XML Security (C++)

Érintett verziók

Apache XML Security (C++) 1.x

Összefoglaló

Az Apache XML Security olyan sérülékenységeit jelentették, amelyeket kihasználva a támadók hamisításos (spoofing) támadásokat követhetnek el, szolgáltatás megtagadást (DoS – Denial of Service) idézhetnek elő, és feltörhetik a könyvtárat használó alkalmazást.

Leírás

  1. Az XML Signature Reference feldolgozó kódban bizonyos XPointer kifejezések feldolgozása során fellépő hiba kihasználható verem alapú puffer túlcsordulás előidézésére.
  2. Egy HMAC alapú XML szignatúra hosszának feldolgozása során fellépő hiba kihasználható összeomlás előidézésére.
  3. Egy másik HMAC alapú XML szignatúra hosszának feldolgozása során fellépő hiba kihasználható XML adatok meghamisítására (spoof).
    Megjegyzés: Ezt a sérülékenységet a CVE-2009-0217 nem teljes hibajavítása okozza. A sérülékenységet bizonyos XML szignatúrák feldolgozása során fellépő hiba okozza.
  4. PrefixList attribútumok feldolgozása során fellépő hiba kihasználható halom alapú puffer túlcsordulás előidézésére.

Az 1. és 4. sérülékenység sikeres kihasználásával tetszőleges kód futtatható.

A sérülékenységeket az 1.7.1 előtti verziókban jelentették.

Megoldás

Frissítsen a legújabb verzióra

Legfrissebb sérülékenységek
CVE-2024-53104 – Linux Kernel sérülékenysége
CVE-2025-7656 – Google Chrome sérülékenysége
CVE-2025-6541 – TP-Link sérülékenysége
CVE-2025-61884 – Oracle E-Business Suite Server-Side Request Forgery (SSRF) sérülékenysége
CVE-2025-2747 – Kentico Xperience CMS Authentication Bypass Using an Alternate Path or Channel sérülékenysége
CVE-2025-2746 – Kentico Xperience CMS Authentication Bypass Using an Alternate Path or Channel sérülékenysége
CVE-2022-48503 – Apple Multiple Products Unspecified sérülékenysége
CVE-2025-54957 – Dolby UDC out-of-bounds write sérülékenysége
CVE-2025-9968 – ASUS Armoury Crate sérülékenysége
CVE-2025-9337 – ASUS Armoury Crate sérülékenysége
Tovább a sérülékenységekhez »