CVE-2022-24449

Solar Appscreener XXE [Vorgeschlagene Beschreibung] Ein Problem wurde im Solar AppScreener SAST-Tool bis Version 3.10.4 gefunden. Ein nicht autorisierter Akteur kann betroffene Hosts ausnutzen, auf denen eine verwundbare Version installiert ist, indem er speziell präparierte XML-Dateien auf Hosts hochlädt, die eine abgelaufene oder nicht installierte Lizenz haben. Die geringste bestätigte Auswirkung ist XXE-SSRF.

[Zusätzliche Informationen] Behoben in >3.10.4

[Verwundbarkeitstyp Sonstiges] CWE-611: Unzureichende Einschränkung von XML-External-Entity-Referenzen

[Hersteller des Produkts] SOLAR SECURITY LLC (https://en.rt-solar.ru/)

[Betroffene Produktcodebasis] Betroffene Version: Solar Appscreener 3.10.4

[Betroffene Komponente] Lizenzaktualisierungsmechanismus

[Angriffstyp] Remote

[Auswirkung Codeausführung] true

[Auswirkung Dienstverweigerung] true

[Auswirkung Privilegieneskalation] true

[Auswirkung Offenlegung von Informationen] true

[Angriffsvektoren] Ein Angreifer kann eine speziell präparierte XML-Datei über die Lizenzaktualisierungsfunktion hochladen.

[Entdecker] Dmitry Kuramin (Jet Infosystems, jet.su)

[Referenz] https://jet.su