Apache Ivy 注入漏洞可导致攻击者提取敏感数据

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

Apache Ivy 中存在一个 XPath 盲注漏洞，可导致攻击者提取数据并访问仅限运行 Apache Ivy 的机器访问的敏感信息。

该漏洞位于 Apache Ivy 2.5.2以下版本中，当解析自身配置 Maven POMs时同时解析 XML 文件时就会触发，可导致外部文档下载和扩展任何实体引用。威胁行动者可利用该 XPath 盲注漏洞以不同方式操纵和执行 Ivy 或访问机器中的敏感信息。该漏洞是因为对XML外部实体引用的限制不当造成的。

Apache Ivy 是一款依赖管理器，负责解析项目依赖且是 Apache Ant 项目的一部分，通过使用 XML 文件定义项目依赖，列出构建项目的必要资源。该漏洞的CVE编号是CVE-2022-46751，CVSS 评分尚未给出。

Apache Ivy 2.5.2 版本发布

在 Aapche Ivy 版本2.5.2 之前，Apache Ivy 在解析 Maven POMs 和其它文件时都会进行DTD 处理。不过，新发布的Apache Ivy 2.5.2 版本已为除了 Maven POMs 以外的所有文件禁用了DTD 处理，仅允许包含用于处理现有 Maven POMs 的DTD 片段。

它们并非合法的 XML 文件但获得 Maven POMs 接受。Apache Ivy 是 Apache Ant 项目的一部分，负责自动化源自 Apache Tomcat 项目2000软件构建流程。

建议用户升级至最新版本Apache Ivy 2.5.2 来阻止漏洞遭利用。或者用户可使用 Java 系统属性来限制对外部DTD的处理。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

未修复的 Apache Tomcat 服务器传播 Mirai 僵尸网络恶意软件

Apache Jackrabbit 中存在严重的RCE漏洞

Apache Superset 会话验证漏洞可导致攻击者访问未授权资源

【已复现】Apache Kafka Connect JNDI注入漏洞(CVE-2023-25194)安全风险通告

在线阅读版：《2023中国软件供应链安全分析报告》全文

奇安信入选全球《静态应用安全测试全景图》代表厂商

奇安信入选全球《软件成分分析全景图》代表厂商

原文链接

https://gbhackers.com/apache-ivy-injection-flaw/

题图：Pexels License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~