CVE-2024-55875

概要

http4kは、Kotlin HTTPアプリケーション向けの機能的なツールキットです。バージョン6.50.0.0より前では、http4kがリクエスト内の悪意のあるXMLコンテンツを処理する際にXXE（XML External Entity Injection）の潜在的な脆弱性が存在し、攻撃者がサーバー上のローカルな機密情報を読み取ったり、Server-side Request Forgeryを引き起こしたり、状況によってはコードを実行したりする可能性がありました。v5.41.0.0 / v4.50.0.0で提供された当初の修正は、デフォルトの`DocumentBuilderFactory`に`ACCESS_EXTERNAL_DTD=""`、`ACCESS_EXTERNAL_SCHEMA=""`、および`isExpandEntityReferences=false`を設定することで、文書化された外部エンティティ攻撃クラス（SSRF、ローカルファイル開示、コード実行）を封鎖しました。しかし、残存するギャップがありました：外部エンティティの解決がブロックされていても、パーサーは`<!DOCTYPE>`宣言を含むドキュメントを依然として受け入れていました。これにより、信頼できないXMLに対して`Body.xml()`または`Document.asXmlDocument()`を使用するアプリケーションに対する、billion-laughs型の内部エンティティ展開によるDoS攻撃が可能な状態が残っていました。v6.50.0.0では、`defaultXmlParsingConfig`に`disallow-doctype-decl=true`と`FEATURE_SECURE_PROCESSING=true`を追加することで、この残存するギャップを封鎖しています。`<!DOCTYPE>`を含むドキュメントは、解析時に拒否されるようになりました。

• CVE-2024-55875PoC

  CVE-2024-55875 | GHSA-7mj5-hjjj-8rgw | http4k 最初のCVE