搜索

[6932] 2020-09-18_ApacheCocoon高危漏洞风险提示

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-17
2020-09-18_ApacheCocoon高危漏洞风险提示 A p a c h e   C o c o o n 高 危 漏 洞 风 险 提 示 E 安 全   2 0 2 0 - 0 9 - 1 8 以 下 文 章 来 源 于 安 恒 信 息 应 急 响 应 中 心   ， 作 者 安 恒 应 急 响 应 中 心 漏 洞 公 告 2 0 2 0 年 9 月 ， 安 恒 应 急 响 应 中 心 监 测 发 现 在 2 0 2 0 年 9 月 1 1 日 A p a c h e   C o c o o n 官 方 更 新 发 布 了 C o c o o n 2 . 1 . 1 3 版 本 ， 该 版 本 修 复 C o c o o n 2 . 1 . 1 2 及 之 前 的 版 本 中 存 在 的 X M L 外 部 实 体 注 入 漏 洞 ， 漏 洞 对 应 C V E 编 号 ： C V E - 2 0 2 0 - 1 1 9 9 1 。 相 关 参 考 链 接 ： h t t p : / / m a i l - a r c h i v e s . a p a c h e . o r g / m o d _ m b o x / w w w - a n n o u n c e / 2 0 2 0 0 9 . m b o x / % 3 c b d c 7 7 1 6 3 - a 1 0 0 - 0 0 4 c - 7 4 4 1 - e 0 0 6 2 a 2 1 6 1 e 7 @ a p a c h e . o r g % 3 e 根 据 描 述 ， 漏 洞 存 在 于 A p a c h e   C o c o o n 中 的 S t r e a m G e n e r a t o r 组 件 中 ， 该 组 件 将 会 解 析 用 户 提 交 的 X M L 格 式 的 数 据 ， 攻 击 者 会 通 过 发 送 精 心 构 造 的 X M L 格 式 的 恶 意 数 据 来 触 发 漏 洞 ， 当 传 入 的 参 数 存 在 敏 感 操 作 时 ， 达 到 获 取 目 标 系 统 敏 感 文 件 及 服 务 器 权 限 ， 建 议 及 时 下 载 最 新 版 本 进 行 更 新 。 ＋ 影 响 范 围 影 响 范 围 A p a c h e   C o c o o n   X M L 外 部 实 体 注 入 （ C V E - 2 0 2 0 - 1 1 9 9 1 ） 问 题 影 响 以 下 版 本 ： C o c o o n   < =   2 . 1 . 1 2 版 本 建 议 更 新 到 漏 洞 修 复 后 的 最 新 版 本 （ 版 本 号 为 2 . 1 . 1 3 ） ， 官 网 更 新 版 本 地 址 ： h t t p s : / / c o c o o n . a p a c h e . o r g / ＋ 漏 洞 描 述 漏 洞 描 述 根 据 分 析 ， 当 C o c o o n 服 务 中 使 用 S t r e a m G e n e r a t o r 组 件 处 理 X M L 格 式 的 数 据 时 ， 攻 击 者 可 以 发 送 精 心 构 造 的 X M L 格 式 数 据 ， 配 合 恶 意 的 参 数 载 荷 ， 对 目 标 机 器 进 行 攻 击 。 经 验 证 该 X M L 外 部 实 体 注 入 漏 洞 可 利 用 ， 攻 击 者 可 以 利 用 该 漏 洞 直 接 对 C o c o o n 服 务 端 进 行 攻 击 ， 影 响 较 大 。 安 恒 信 息 应 急 响 应 中 心 安 恒 信 息 应 急 响 应 中 心   . 安 恒 应 急 响 应 中 心 为 客 户 提 供 最 精 准 预 警 通 告 ， 同 时 提 供 漏 洞 在 客 户 应 用 系 统 危 害 、 影 响 范 围 及 修 补 方 案 等 信 息 。 公 司 产 品 漏 洞 提 交 请 联 系 : 4 0 0   6 0 5 9   1 1 0 ,   或 邮 件 联 系 : s r c @ d b a p p s e c u r i t y . c o m . c n 。
＋ 缓 解 措 施 缓 解 措 施 高 危 ： 目 前 漏 洞 细 节 和 利 用 代 码 等 相 关 技 术 细 节 暂 未 公 开 ， 安 恒 应 急 响 应 中 心 已 验 证 该 漏 洞 的 可 利 用 性 ， 建 议 及 时 测 试 并 更 新 到 漏 洞 修 复 的 版 本 （ 2 . 1 . 1 3 及 以 上 ） ， 或 部 署 必 要 的 安 全 防 护 设 备 拦 截 恶 意 攻 击 代 码 。 安 恒 应 急 响 应 中 心 2 0 2 0 年 9 月 注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 2 0 2 0 国 家 网 络 安 全 宣 传 周 ： 安 卓 用 户 注 意 了 ！ 常 年 不 关 手 机 蓝 牙 或 成 为 “ 定 时 炸 弹 ” 2 0 2 0 国 家 网 络 安 全 宣 传 周 ： 小 心 ！ 智 能 手 环 也 可 能 泄 露 您 的 个 人 隐 私 2 0 2 0 国 家 网 络 安 全 宣 传 周 ： 警 惕 ！ 破 解 一 道 智 能 门 锁 只 需 1 0 秒 安 恒 信 息 安 全 运 营 中 心 威 胁 情 报 总 结   D A Y 5 蓝 军 近 期 需 要 关 注 的 1 2 个 漏 洞 （ 截 止 至 8 月 2 0 日 ） ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理