【漏洞通告】Apache Jena XML外部实体注入漏洞CVE-2022-28890

admin 2022年5月12日21:33:30评论45 views字数 1011阅读3分22秒阅读模式

漏洞名称

Apache Jena XML 外部实体注入漏洞

组件名称

Apache Jena

影响范围

Apache Jena 4.4.0

Apache Jena ≤ 4.1.0

漏洞类型

代码注入

利用条件

1、用户认证:未知

2、前置条件:未知

3、触发方式:未知

综合评价

<综合评定利用难度>:未知。

<综合评定威胁等级>:高危,能执行命令。


漏洞分析


组件介绍

Apache Jena 是一个 Java 类库,是用于开发基于 RDF 与 OWL 语义的 Web 应用程序。


2 漏洞描述

近日,深信服安全团队监测到一则 Apache Jena 存在 XML 实体注入漏洞的信息,漏洞编号:CVE-2022-28890,漏洞威胁等级:高危。


该漏洞是由于 Apache Jena 在处理 RDF/XML 等格式文档内容时,未限定对外部实体的处理,可能导致在接受到一个恶意构造的文件后,执行外部实体中的内容。攻击者可利用该漏洞进行命令执行并可能造成信息泄露。


影响范围


目前受影响的 Apache Jena 版本

Apache Jena 4.4.0

Apache Jena ≤ 4.1.0


解决方案


如何查看组件系统版本

查看 maven 项目中的依赖,如果包含以下内容则可能受该漏洞影响。

 <dependency>      <groupId>org.apache.jena</groupId>      <artifactId>jena-core</artifactId>      <version>4.4.0</version>    </dependency>


2 官方修复建议

当前官方已发布最新版本,建议受影响的用户及时更新升级到最新版本。链接如下:

https://jena.apache.org/download/index.cgi


参考链接

 


https://lists.apache.org/thread/h88oh642455wljo0p5jgzs9phk4gj878


时间轴


2022/5/12  深信服监测到 Apache Jena XML 外部实体注入漏洞信息。

2022/5/12  深信服千里目安全实验室发布漏洞通告。



点击阅读原文,及时关注并登录深信服智安全平台,可轻松查询漏洞相关解决方案。

【漏洞通告】Apache Jena XML外部实体注入漏洞CVE-2022-28890


深信服千里目安全实验室

【漏洞通告】Apache Jena XML外部实体注入漏洞CVE-2022-28890

深信服科技旗下安全实验室,致力于网络安全攻防技术的研究和积累,深度洞察未知网络安全威胁,解读前沿安全技术。

● 扫码关注我们





原文始发于微信公众号(深信服千里目安全实验室):【漏洞通告】Apache Jena XML外部实体注入漏洞CVE-2022-28890

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年5月12日21:33:30
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【漏洞通告】Apache Jena XML外部实体注入漏洞CVE-2022-28890http://cn-sec.com/archives/1002558.html

发表评论

匿名网友 填写信息