CVE-2018-17198

Apache Roller 5.2.1, 5.2.0 və daha əvvəlki dəstəklənməyən versiyalarda Server-side Request Forgery (SSRF) və Faylların Sadalanması (File Enumeration) zəifliyi mövcuddur. Bu zəiflik, XML-RPC interfeysini tətbiq etmək üçün Java SAX Parser-dən istifadə edilməsinə əsaslanır və həmin parser standart olaraq XML DOCTYPE daxilində xarici entitiləri dəstəkləyir ki, bu da Roller-i SSRF / Faylların Sadalanması zəifliyinə məruz qoyur. Qeyd edək ki, bu zəiflik Roller XML-RPC interfeysi Roller veb admin UI vasitəsilə söndürülmüş olsa belə mövcuddur. Tədbirlər: Bu zəifliyi aradan qaldırmaq üçün bir neçə yol var: 1) Roller-in ən son versiyasına (hazırda 5.2.2) yeniləyin 2) Və ya Roller web.xml faylını redaktə edin və aşağıda göstərildiyi kimi XML-RPC Servlet mapping hissəsini şərhə alın: <!-- <servlet-mapping> <servlet-name>XmlRpcServlet</servlet-name> <url-pattern>/roller-services/xmlrpc</url-pattern> </servlet-mapping> -->