CVE-2025-27136

सारांश

LocalS3, परीक्षण और स्थानीय विकास के लिए एक Amazon S3 मॉक सेवा है। संस्करण 1.21 से पहले, LocalS3 सेवा का बकेट निर्माण एंडपॉइंट XML External Entity (XXE) इंजेक्शन के लिए संवेदनशील है। बकेट निर्माण के दौरान CreateBucketConfiguration XML दस्तावेज़ को संसाधित करते समय, सेवा का XML पार्सर बाहरी एंटिटी को हल करने के लिए कॉन्फ़िगर किया गया है। यह एक हमलावर को एक बाहरी एंटिटी घोषित करने की अनुमति देता है जो एक आंतरिक URL को संदर्भित करती है, जिसे सर्वर XML पार्स करते समय प्राप्त करने का प्रयास करेगा। यह भेद्यता विशेष रूप से लोकेशन कंस्ट्रेंट प्रोसेसिंग में होती है, जहां XML पार्सर बिना उचित सत्यापन या प्रतिबंधों के बाहरी एंटिटी को हल करता है। जब बाहरी एंटिटी हल हो जाती है, सर्वर निर्दिष्ट URL पर एक HTTP अनुरोध करता है और प्रतिक्रिया सामग्री को पार्स किए गए XML दस्तावेज़ में शामिल करता है। इस भेद्यता का उपयोग सर्वर-साइड रिक्वेस्ट फोर्जरी (SSRF) हमलों को करने के लिए किया जा सकता है, जिससे हमलावर आंतरिक सेवाओं या संसाधनों, जो बाहरी नेटवर्क से सुलभ नहीं होने चाहिए, को अनुरोध भेज सकता है। सर्वर इन आंतरिक अनुरोधों से प्राप्त प्रतिक्रियाओं को परिणामी बकेट कॉन्फ़िगरेशन में शामिल करेगा, जिससे संवेदनशील जानकारी प्रभावी रूप से लीक हो जाती है। इस भेद्यता का शोषण करने के लिए हमलावर को केवल LocalS3 सेवा को HTTP अनुरोध भेजने में सक्षम होना आवश्यक है।

• CVE-2025-27136PoC

  एक S3 में XML External Entity PoC.

• CVE-2025-27136-XXE-LocalS3PoC