اصلاح آسیب‌پذیری مزاحم XXE در محصولات Flex BlazeDS توسط VMware

VMware اقدام به اصلاح یک آسیب‌پذیری افشای اطلاعات نموده که این آسیب‌پذیری تعدادی از محصولاتی را که از Flex BlazeDS استفاده می‌کنند تحت شعاع قرار داده بود.
این آسیب‌پذیری که در ماه آگوست کشف و افشاء شده، ظاهراً نوعی موجودیت خارجی XML بوده است.
این شکاف در Flex BlazeDS وجود داشته است. آسیب‌پذیری‌های XXE در برنامه‌های کاربردی تحت وبی وجود دارند که ورودی XML را تجزیه کرده و ممکن است به منظور افشای پرونده‌های حفاظت‌شده در شبکه مورد سوءاستفاده قرار بگیرد.
بنیاد آپاچی در توصیه‌نامه‌ی خود برای آسیب‌پذیری CVE-۲۰۱۵-۳۲۶۹ گفت که نسخه‌ی ۴.۷.۰ از Apache Flex BalzeDS درگیر این مسئله است.
پیکربندی پیش‌فرض پارسرِ XML با دریافت پیام‌های AMF رمزشده‌ی XML که حاوی موجودیت‌های DTD هستند، امکان توسعه‌ی موجودیت‌ها به منابع محلی را فراهم می‌کند. درخواستی که شامل یک پارامتر درخواست ویژه باشد، ممکن است برای دستیابی به محتوایی استفاده شود که در غیر این صورت از آن محافظت می‌شده است.
در توصیه‌نامه‌ی VMware آمده است که محصولات زیر آسیب‌پذیر محسوب می‌شوند:
– VMware vCenter Server ۵.۵
– VMware vCenter Server ۵.۱
– VMware vCenter Server ۵.۰
– vCloud Director ۵.۶
– vCloud Director ۵.۵
– VMware Horizon View ۶.۰
– VMware Horizon View ۵.۰
آن دست از محصولات VMware که از Flex BlazeDS استفاده می‌کنند ممکن است تحت تأثیر شکافی در پردازش درخواست‌های موجودیت خارجی XML یا همان XXE قرار داشته باشند. یک درخواست به‌خصوص XML که به کارگزار فرستاده شود می‌تواند باعث افشای ناخواسته‌ی اطلاعات شود.

منبع: asis

[easy-pricing-table id="6835"]