Apache XML Security sérülékenységek

CH azonosító

CH-9433

Angol cím

Apache XML Security Multiple Vulnerabilities

Felfedezés dátuma

2013.06.17.

Súlyosság

Magas

Érintett rendszerek

Apache Software Foundation
Apache XML Security (C++)

Érintett verziók

Apache XML Security (C++) 1.x

Összefoglaló

Az Apache XML Security olyan sérülékenységeit jelentették, amelyeket kihasználva a támadók hamisításos (spoofing) támadásokat követhetnek el, szolgáltatás megtagadást (DoS – Denial of Service) idézhetnek elő, és feltörhetik a könyvtárat használó alkalmazást.

Leírás

  1. Az XML Signature Reference feldolgozó kódban bizonyos XPointer kifejezések feldolgozása során fellépő hiba kihasználható verem alapú puffer túlcsordulás előidézésére.
  2. Egy HMAC alapú XML szignatúra hosszának feldolgozása során fellépő hiba kihasználható összeomlás előidézésére.
  3. Egy másik HMAC alapú XML szignatúra hosszának feldolgozása során fellépő hiba kihasználható XML adatok meghamisítására (spoof).
    Megjegyzés: Ezt a sérülékenységet a CVE-2009-0217 nem teljes hibajavítása okozza. A sérülékenységet bizonyos XML szignatúrák feldolgozása során fellépő hiba okozza.
  4. PrefixList attribútumok feldolgozása során fellépő hiba kihasználható halom alapú puffer túlcsordulás előidézésére.

Az 1. és 4. sérülékenység sikeres kihasználásával tetszőleges kód futtatható.

A sérülékenységeket az 1.7.1 előtti verziókban jelentették.

Megoldás

Frissítsen a legújabb verzióra