搜索

[1453] 2018-07-04_关于第三方支付平台JAVASDK存在XXE漏洞的安全公告

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-16
2018-07-04_关于第三方支付平台JAVASDK存在XXE漏洞的安全公告 关 于 第 三 方 支 付 平 台 J A V A   S D K 存 在 X X E 漏 洞 的 安 全 公 告 C N V D 漏 洞 平 台   2 0 1 8 - 0 7 - 0 4 安 全 公 告 编 号 安 全 公 告 编 号 : C N T A - 2 0 1 8 - 0 0 2 0 2 0 1 8 年 7 月 3 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 第 三 方 支 付 平 台 J A V A   S D K 存 在 X X E 漏 洞 （ C N V D - 2 0 1 8 - 1 2 5 0 8 ） 。 综 合 利 用 上 述 漏 洞 ， 攻 击 者 可 实 现 商 户 服 务 器 端 系 统 的 X M L 外 部 实 体 注 入 攻 击 。 目 前 漏 洞 的 利 用 细 节 已 被 公 开 ， 厂 商 已 发 布 补 丁 进 行 修 复 。 一 、 漏 洞 情 况 分 析 一 、 漏 洞 情 况 分 析 可 扩 展 标 记 语 言 （ X M L ， e X t e n s i b l e   M a r k u p   L a n g u a g e ） 用 于 标 记 电 子 文 件 使 其 具 有 结 构 性 的 标 记 语 言 ， 可 以 用 来 标 记 数 据 、 定 义 数 据 类 型 。 X M L 具 备 在 任 何 应 用 程 序 中 进 行 数 据 读 写 的 简 单 特 性 ， 使 其 很 快 成 为 数 据 交 换 的 唯 一 公 共 语 言 ， 被 广 泛 应 用 于 第 三 支 付 平 台 与 商 户 之 间 交 换 数 据 的 格 式 定 义 。 X M L 语 言 标 准 支 持 与 外 部 进 行 实 体 数 据 交 换 的 特 性 。 应 用 程 序 在 解 析 X M L 输 入 时 ， 没 有 禁 止 外 部 实 体 加 载 功 能 ， 会 导 致 X M L 外 部 实 体 注 入 漏 洞 （ X M L   E x t e r n a l   E n t i t y   I n j e c t i o n ， X X E ） 。 2 0 1 8 年 7 月 2 日 ， 境 外 S e c L i s t s 网 站 发 布 了 微 信 支 付 J A V A 软 件 工 具 开 发 包 （ S D K ） 存 在 X X E 漏 洞 。 利 用 该 漏 洞 ， 攻 击 者 可 在 使 用 信 息 泄 露 、 扫 描 爆 破 等 特 殊 手 段 获 知 商 户 的 通 知 接 口 （ c a l l b a c k ） 地 址 的 前 提 下 ， 发 送 恶 意 X M L 实 体 ， 在 商 户 服 务 器 上 执 行 代 码 ， 实 现 对 商 户 服 务 器 的 任 意 文 件 读 取 。 如 果 攻 击 者 进 一 步 获 得 商 家 的 关 键 安 全 密 钥 ， 就 可 能 通 过 发 送 伪 造 信 息 实 现 零 元 支 付 。 C N V D 对 该 漏 洞 的 综 合 评 级 为 “ 高 危 ” 。 二 、 漏 洞 影 响 范 围 二 、 漏 洞 影 响 范 围 该 漏 洞 影 响 商 户 服 务 器 后 台 系 统 的 安 全 ， 目 前 已 知 微 信 支 付 J A V A   S D K 7 月 3 日 之 前 发 布 的 版 本 、 陌 陌 和 v i v o 商 户 系 统 受 此 漏 洞 影 响 。 腾 讯 公 司 和 v i v o 商 户 系 统 已 分 别 于 7 月 3 日 、 7 月 4 日 完 成 修 复 。 三 、 漏 洞 修 复 建 议 三 、 漏 洞 修 复 建 议 建 议 第 三 方 支 付 平 台 对 本 公 司 开 发 的 S D K 工 具 进 行 自 查 ， 发 现 安 全 隐 患 请 及 时 通 知 下 属 商 户 ， 及 时 消 除 漏 洞 攻 击 威 胁 。 1 、 腾 讯 公 司 已 发 布 J A V A   S D K 修 复 版 本 ， 建 议 商 户 及 时 更 新 至 最 新 版 本 ： h t t p s : / / p a y . w e i x i n . q q . c o m / w i k i / d o c / a p i / j s a p i . p h p ? c h a p t e r = 1 1 _ 1 2 、 用 户 可 使 用 开 发 语 言 提 供 的 禁 用 外 部 实 体 的 方 法 ， J A V A 禁 用 外 部 实 体 的 代 码 如 下 ： D o c u m e n t B u i l d e r F a c t o r y   d b f   = D o c u m e n t B u i l d e r F a c t o r y . n e w I n s t a n c e ( ) ; d b f . s e t E x p a n d E n t i t y R e f e r e n c e s ( f a l s e ) ; 3 、 过 滤 用 户 侧 提 交 的 X M L 数 据 过 滤 关 键 词 ： D O C T Y P E 、 E N T I T Y 、 S Y S T E M 、 P U B L I C 。 附 ： 参 考 链 接 ： h t t p : / / w w w . c n v d . o r g . c n / f l a w / s h o w / C N V D - 2 0 1 8 - 1 2 5 0 8 h t t p : / / s e c l i s t s . o r g / f u l l d i s c l o s u r e / 2 0 1 8 / J u l / 3 感 谢 C N V D 成 员 单 位 深 圳 市 腾 讯 计 算 机 系 统 有 限 公 司 、 北 京 知 道 创 宇 信 息 技 术 有 限 公 司 对 本 公 告 提 供 技 术 支 持 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理