漏洞名称：
Apache Jena XML外部实体注入漏洞
组件名称：
Apache Jena
影响范围：
Apache Jena 4.4.0
Apache Jena ≤ 4.1.0
漏洞类型：
代码注入
利用条件：
1、用户认证：未知
2、前置条件：未知
3、触发方式：未知
Apache Jena是一个 Java 工具箱，用于开发基于 RDF 与 OWL 语义(semantic)的 Web 应用程序。
该漏洞是由于 RDF/XML 解析器中用户提供的 XML 输入的验证不充分而存在。远程攻击者可以将特制的 XML 代码传递给受影响的应用程序并查看系统上任意文件的内容或向外部系统发起请求。成功利用该漏洞可能允许攻击者查看服务器上任意文件的内容或对内部和外部基础设施进行网络扫描。
当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：
https://jena.apache.org/download/index.cgi
1、及时更新防火墙策略。
2、如无必要，禁止主机外连。
3、加强等级保护相关合规工作。
4、及时更新安全补丁。
云科攻防实验室拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经云科攻防实验室允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
原文始发于微信公众号（云科攻防实验室）：【漏洞通告】Apache Jena XML外部实体注入漏洞（CVE-2022-28890 ）
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论