Apache Ivy bis 2.5.1 XML External Entity

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
6.9$0-$5k0.00

Zusammenfassunginfo

Es wurde eine Schwachstelle in Apache Ivy bis 2.5.1 gefunden. Sie wurde als problematisch eingestuft. Betroffen davon ist ein unbekannter Prozess. Durch Beeinflussen mit unbekannten Daten kann eine XML External Entity-Schwachstelle ausgenutzt werden. Die Verwundbarkeit wird unter CVE-2022-46751 geführt. Es ist soweit kein Exploit verfügbar. Als bestmögliche Massnahme wird das Einspielen eines Upgrades empfohlen.

Detailsinfo

In Apache Ivy bis 2.5.1 wurde eine problematische Schwachstelle ausgemacht. Hierbei betrifft es ein unbekannter Ablauf. Dank der Manipulation mit einer unbekannten Eingabe kann eine XML External Entity-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-611. Es ist nicht bekannt, inwiefern sich eine durchgesetzte Attacke genau auswirken wird. Die Zusammenfassung von CVE lautet:

Improper Restriction of XML External Entity Reference, XML Injection (aka Blind XPath Injection) vulnerability in Apache Software Foundation Apache Ivy.This issue affects any version of Apache Ivy prior to 2.5.2. When Apache Ivy prior to 2.5.2 parses XML files - either its own configuration, Ivy files or Apache Maven POMs - it will allow downloading external document type definitions and expand any entity references contained therein when used. This can be used to exfiltrate data, access resources only the machine running Ivy has access to or disturb the execution of Ivy in different ways. Starting with Ivy 2.5.2 DTD processing is disabled by default except when parsing Maven POMs where the default is to allow DTD processing but only to include a DTD snippet shipping with Ivy that is needed to deal with existing Maven POMs that are not valid XML files but are nevertheless accepted by Maven. Access can be be made more lenient via newly introduced system properties where needed. Users of Ivy prior to version 2.5.2 can use Java system properties to restrict processing of external DTDs, see the section about "JAXP Properties for External Access restrictions" inside Oracle's "Java API for XML Processing (JAXP) Security Guide".

Die Schwachstelle wurde am 21.08.2023 öffentlich gemacht. Bereitgestellt wird das Advisory unter lists.apache.org. Die Verwundbarkeit wird seit dem 07.12.2022 als CVE-2022-46751 geführt. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar.

Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 210929 (Jenkins plugins Multiple Vulnerabilities (2024-11-13)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann.

Ein Aktualisieren auf die Version 2.5.2 vermag dieses Problem zu lösen. Eine neue Version kann von github.com bezogen werden. Die Schwachstelle lässt sich auch durch das Einspielen des Patches 2be17bc18b0e1d4123007d579e43ba1a4b6fab3d lösen. Dieser kann von gitbox.apache.org bezogen werden. Als bestmögliche Massnahme wird das Upgrade auf eine neue Version empfohlen.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von Tenable (210929) dokumentiert. If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Produktinfo

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 7.0
VulDB Meta Temp Score: 6.9

VulDB Base Score: 4.6
VulDB Temp Score: 4.4
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 8.2
NVD Vector: 🔍

CNA Base Score: 8.2
CNA Vector: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: XML External Entity
CWE: CWE-611 / CWE-610
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 210929
Nessus Name: Jenkins plugins Multiple Vulnerabilities (2024-11-13)

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Upgrade: Ivy 2.5.2
Patch: 2be17bc18b0e1d4123007d579e43ba1a4b6fab3d

Timelineinfo

07.12.2022 🔍
21.08.2023 +256 Tage 🔍
21.08.2023 +0 Tage 🔍
14.11.2024 +451 Tage 🔍

Quelleninfo

Hersteller: apache.org

Advisory: lists.apache.org
Status: Bestätigt

CVE: CVE-2022-46751 (🔍)
GCVE (CVE): GCVE-0-2022-46751
GCVE (VulDB): GCVE-100-237589

Eintraginfo

Erstellt: 21.08.2023 16:39
Aktualisierung: 14.11.2024 08:16
Anpassungen: 21.08.2023 16:39 (42), 14.09.2023 07:55 (11), 28.09.2024 01:02 (25), 14.11.2024 08:16 (2)
Komplett: 🔍
Cache ID: 216::103

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you need the next level of professionalism?

Upgrade your account now!