CVE-2024-55875 in http4k
Riassunto
di VulDB • 15/06/2026
http4k è un toolkit funzionale per applicazioni HTTP in Kotlin. Prima della versione 6.50.0.0, era presente una potenziale vulnerabilità XXE (XML External Entity Injection) durante l'elaborazione di contenuti XML malevoli all'interno delle richieste da parte di http4k; ciò potrebbe consentire agli attaccanti di leggere informazioni sensibili locali sul server, innescare attacchi Server-side Request Forgery e persino eseguire codice in determinate circostanze. La correzione originale rilasciata nelle versioni v5.41.0.0 / v4.50.0.0 ha chiuso la classe documentata di attacchi tramite entità esterne (SSRF, divulgazione di file locali, esecuzione di codice) impostando `ACCESS_EXTERNAL_DTD=""`, `ACCESS_EXTERNAL_SCHEMA=""` e `isExpandEntityReferences=false` sul predefinito `DocumentBuilderFactory`. È rimasto un gap residuo: il parser accettava ancora documenti contenenti dichiarazioni `<!DOCTYPE>` anche se la risoluzione delle entità esterne era bloccata. Ciò lasciava aperte le vulnerabilità DoS (Denial of Service) basate sull'espansione interna di entità in stile "billion laughs" contro qualsiasi applicazione che utilizzasse `Body.xml()` o `Document.asXmlDocument()` su XML non attendibili. La versione v6.50.0.0 colma questa lacuna aggiungendo `disallow-doctype-decl=true` e `FEATURE_SECURE_PROCESSING=true` a `defaultXmlParsingConfig`. Qualsiasi documento contenente una dichiarazione `<!DOCTYPE>` viene ora rifiutato in fase di parsing.
Once again VulDB remains the best source for vulnerability data.