Apache CXF Aegis DataBinding 存在SSRF漏洞 (CVE-2024-28752)

漏洞类型 SSRF 发现时间 2024-03-15 漏洞等级 中危
MPS编号 MPS-lhqv-numb CVE编号 CVE-2024-28752 漏洞影响广度

漏洞危害

OSCS 描述
Apache CXF 是开源的Web服务框架,Aegis databinding 是将 XML/JSON 数据和对象进行转换的数据绑定功能。
受影响版本中,由于 AttachmentUtil 类在处理附件时会自动请求附件中 xop:include 元素中的 href 链接,攻击者可在附件 id 中构造恶意的 href 参数进行SSRF攻击,进行内网探测、访问内部系统或资源。
补丁版本通过对 xop:include 元素中的 href 链接过滤修复此漏洞。
参考链接:https://www.oscs1024.com/hd/MPS-lhqv-numb

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.apache.cxf:cxf-rt-databinding-aegis [4.0.0, 4.0.4) 升级 将 org.apache.cxf:cxf-rt-databinding-aegis 升级至 4.0.4 及以上版本
org.apache.cxf:cxf-rt-databinding-aegis [3.6.0, 3.6.3) 升级 将 org.apache.cxf:cxf-rt-databinding-aegis 升级至 3.6.3 及以上版本
org.apache.cxf:cxf-rt-databinding-aegis (-∞, 3.5.8) 升级 将 org.apache.cxf:cxf-rt-databinding-aegis 升级至 3.5.8 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-lhqv-numb

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-lhqv-numb

https://cxf.apache.org/security-advisories.data/CVE-2024-28752.txt

https://nvd.nist.gov/vuln/detail/CVE-2024-28752

https://github.com/apache/cxf/commit/659a8f9b10bc8037774c0399e61e77e3955fd230

(0)
上一篇 2024年3月15日 下午4:00
下一篇 2024年3月17日 下午2:00

相关推荐

  • OpenSSH <9.6 命令注入漏洞 (CVE-2023-51385)

    漏洞类型 OS命令注入 发现时间 2023-12-19 漏洞等级 高危 MPS编号 MPS-9rip-l1u7 CVE编号 CVE-2023-51385 漏洞影响广度 广 漏洞危害 OSCS 描述 OpenSSH 是使用 SSH 协议进行远程登录的连接工具。 在OpenSSH 9.6版本之前的ssh中,如果用户名或主机名中含有shell元字符(如 | &#8…

    2023年12月20日
    0
  • Atlassian Confluence 权限提升漏洞 (CVE-2023-22515)

    漏洞类型 输入验证不恰当 发现时间 2023-10-04 漏洞等级 严重 MPS编号 MPS-2023-0016 CVE编号 CVE-2023-22515 漏洞影响广度 一般 漏洞危害 OSCS 描述 Confluence 是由Atlassian公司开发的企业协作和文档管理工具。 Confluence Data Center 和 Confluence Ser…

    2023年10月9日
    0
  • Microsoft Exchange Server 远程代码执行漏洞 (CVE-2023-36439)

    漏洞类型 代码注入 发现时间 2023-11-15 漏洞等级 高危 MPS编号 MPS-z7l2-u3tm CVE编号 CVE-2023-36439 漏洞影响广度 广 漏洞危害 OSCS 描述 Microsoft Exchange Server 是微软公司开发的一款邮件服务器。 Microsoft Exchange Server 受影响版本中,具有普通用户权…

    2023年11月16日
    0
  • Terraform<1.5.7 任意文件写入漏洞 (CVE-2023-4782)

    漏洞类型 路径遍历 发现时间 2023-09-15 漏洞等级 高危 MPS编号 MPS-krc8-d4u9 CVE编号 CVE-2023-4782 漏洞影响广度 广 漏洞危害 OSCS 描述 Terraform 是一个开源的基础设施即代码(IAC)工具,允许用户使用声明性语言定义和配置基础设施资源,如虚拟机、存储、网络等。多数国内外云厂商的基础设施自动化都在…

    2023年9月15日
    0
  • Transformers RagRetriever 反序列化漏洞 (CVE-2023-6730)

    漏洞类型 反序列化 发现时间 2023-12-19 漏洞等级 严重 MPS编号 MPS-qedl-r8y7 CVE编号 CVE-2023-6730 漏洞影响广度 广 漏洞危害 OSCS 描述 Transformers是一个自然语言处理(NLP)库,它提供了大量预训练的深度学习模型和用于处理文本数据的工具。 在RagRetriever模型中,存在绕过Huggi…

    2023年12月21日
    0