CVE-2023-20052
中已发布
2023年2月15日，ClamAV 扫描库中披露了以下漏洞：ClamAV 1.0.0 及更早版本、0.105.1 及更早版本以及 0.103.7 及更早版本的 DMG 文件解析器中存在一个漏洞，可能允许未经认证的远程攻击者访问受影响设备上的敏感信息。该漏洞源于启用了 XML 实体替换，可能导致 XML...
- 已发布
- 2023年2月16日
- 已更新
- 2024年8月2日
- 分配 CNA
- cisco
- 观察到的证据
- 2026年8月8日
初级CVSS
5.3/ 10中
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N7.0%
低 · 未来 30 天
- 百分位
- 94.0%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
2023年2月15日，ClamAV 扫描库中披露了以下漏洞：ClamAV 1.0.0 及更早版本、0.105.1 及更早版本以及 0.103.7 及更早版本的 DMG 文件解析器中存在一个漏洞，可能允许未经认证的远程攻击者访问受影响设备上的敏感信息。该漏洞源于启用了 XML 实体替换，可能导致 XML 外部实体注入。攻击者可通过提交特制的 DMG 文件，使其在受影响设备上由 ClamAV 进行扫描，从而利用此漏洞。成功利用此漏洞可让攻击者泄露 ClamAV 扫描进程可能读取的任何文件中的字节数据。
来源
4- CVE-2023-20052漏洞利用
CVE-2023-20052 ClamAV的DMG文件解析器中的信息泄露漏洞
CVE-2023-20052，ClamAV 的 DMG 文件解析器中的信息泄露漏洞
- CVE-2023-20052漏洞利用
修复了CVE-2023-20052 ClamAV XXE漏洞利用的Docker构建。使用Ubuntu 18.04配合OpenSSL 1.0解决OpenSSL 3.0编译错误，确保libdmg-hfsplus兼容性。生成用于XML外部实体注入的恶意DMG文件。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。