CVE-2023-20052
2023年2月15日、ClamAVスキャンライブラリにおける以下の脆弱性が公開されました。ClamAV 1.0.0以前、0.105.1以前、および0.103.7以前のDMGファイルパーサーには、影響を受けるデバイス上の機密情報へアクセスできる可能性がある脆弱性が存在します。この脆弱性は、XMLエンティティ置換が有...
- 公開済み
- 2023/02/16
- 更新済み
- 2024/08/02
- CNA の割り当て
- cisco
- 観察された証拠
- 2026/08/08
プライマリ CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N低 · 今後 30 日間
- パーセンタイル
- 94.0%
- モデルの日付
- 2026/09/21
EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。
概要
2023年2月15日、ClamAVスキャンライブラリにおける以下の脆弱性が公開されました。ClamAV 1.0.0以前、0.105.1以前、および0.103.7以前のDMGファイルパーサーには、影響を受けるデバイス上の機密情報へアクセスできる可能性がある脆弱性が存在します。この脆弱性は、XMLエンティティ置換が有効になっていることに起因し、XML外部エンティティインジェクションを引き起こす可能性があります。攻撃者は、影響を受けるデバイス上でClamAVにスキャンさせるために細工したDMGファイルを送信することで、この脆弱性を悪用する可能性があります。悪用に成功した場合、攻撃者はClamAVスキャンプロセスが読み取り可能な任意のファイルからバイト列を漏えいさせることができる可能性があります。
ソース
4- CVE-2023-20052エクスプロイト
CVE-2023-20052 ClamAV の DMG ファイルパーサーにおける情報漏えいの脆弱性
CVE-2023-20052、ClamAVのDMGファイルパーサーにおける情報漏えいの脆弱性
- CVE-2023-20052エクスプロイト
CVE-2023-20052 ClamAV XXEエクスプロイト用のDockerビルドを修正しました。libdmg-hfsplus互換性のためにUbuntu 18.04とOpenSSL 1.0を使用して、OpenSSL 3.0のコンパイルエラーを解決します。XML外部エンティティインジェクション用の悪意のあるDMGファイルを生成します。
責任ある使用
脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイト コードや悪意のあるペイロードは保存しません。