BDU:2021-00923

Уязвимость компонентов GanttProjectReader и PhoenixReader библиотеки MPXJ, позволяющая нарушителю провести XXE-атаки

Опубликовано: 2021-02-23

Описание

Уязвимость компонентов GanttProjectReader и PhoenixReader библиотеки MPXJ связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, провести XXE-атаки

Затрагиваемое ПО и версии

Primavera Unifier (16.2)Primavera Unifier (16.1)Primavera Unifier (18.8)Primavera Unifier (19.12)Primavera Unifier (от 17.7 до 17.12 включительно)Primavera Unifier (20.12)MPXJ (до 8.1.3 включительно)COMOS (до 10.4.4)

Способ устранения

Обновление библиотеки MPXJ до актуальной версии

Для программных продуктов Oracle Corp.:
https://www.oracle.com/security-alerts/cpujan2021.html

Для продуктов Siemens:
https://cert-portal.siemens.com/productcert/html/ssa-137900.html

Оценка CVSS

Балл	10 — критическая опасность

Источники и патчи

https://www.oracle.com/security-alerts/cpujan2021.html https://cert-portal.siemens.com/productcert/html/ssa-137900.html

Проверьте безопасность своего сайта и почты → Полная проверка домена