CVE-2022-46364
Apache CXF SSRF भेद्यता
- प्रकाशित
- 13 दिस॰ 2022
- अद्यतन
- 22 अप्रैल 2025
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hकम · अगले 30 दिन
- प्रतिशत
- 83.1%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Apache CXF के 3.5.5 और 3.4.10 से पहले के संस्करणों में MTOM अनुरोधों में XOP:Include की href विशेषता को पार्स करने में एक SSRF भेद्यता, एक हमलावर को किसी भी प्रकार का कम से कम एक पैरामीटर लेने वाली वेबसेवाओं पर SSRF शैली के हमले करने की अनुमति देती है।
स्रोत
CVE-2022-46364 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, एक Apache CXF SSRF भेद्यता जो कि क्राफ्टेड MTOM/XOP SOAP अनुरोधों के माध्यम से मनमानी फ़ाइल पढ़ने और आंतरिक नेटवर्क प्रोबिंग को सक्षम बनाती है।
- CVE-2022-46364-Proof-of-the-conceptएक्सप्लॉइट
यह भेद्यता एक हमलावर को Apache CXF वेबसेवाओं पर SSRF (सर्वर-साइड रिक्वेस्ट फोर्जरी) हमले करने की अनुमति देती है जो MTOM/XOP अनुरोधों को स्वीकार करती हैं। समस्या xop:Include के href विशेषता को पार्स करने के तरीके में मौजूद है, जिससे सर्वर द्वारा मनमाने URL का अनुरोध किया जा सकता है।
- CVE-2022-46364-htb-ctfएक्सप्लॉइट
CVE-2022-46364 का Apache CXF 3.2.14 में MTOM/XOP इंजेक्शन के माध्यम से LFI और SSRF के लिए शोषण। HTB CTF वातावरण के लिए स्वचालित मल्टीपार्ट निर्माण और Base64 निष्कर्षण।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।