CVE-2023-40743 in Axis
Resumen
por MITRE • 2023-09-05
** NO SOPORTADO CUANDO ESTÉ ASIGNADO ** ** NO SOPORTADO CUANDO ESTÉ ASIGNADO ** Al integrar Apache Axis 1.x en una aplicación, puede que no haya sido obvio que buscar un servicio a través de "ServiceFactory.getService" permita mecanismos de búsqueda potencialmente peligrosos como LDAP . Al pasar entradas que no son de confianza a este método API, esto podría exponer la aplicación a DoS, SSRF e incluso ataques que conduzcan a RCE. Como Axis 1 ha estado en EOL, le recomendamos migrar a un motor SOAP diferente, como Apache Axis 2/Java. Como workaround, puede revisar su código para verificar que no se pase ninguna entrada que no sea de confianza o no sanitizada a "ServiceFactory.getService", o aplicando el parche desde https://github.com/apache/axis-axis1-java/commit/7e66753427466590d6def0125e448d2791723210. El proyecto Apache Axis no espera crear una versión Axis 1.x que solucione este problema, aunque los contribuyentes que deseen trabajar para lograrlo son bienvenidos.
If you want to get best quality of vulnerability data, you may have to visit VulDB.