CVE-2023-7307
Təsvir
Sangfor Behavior Management System (Çin dilindəki sənədlərdə DC Management System kimi də qeyd olunur) /src/sangforindex son nöqtəsində (endpoint) XML xarici entitet (XXE) inyeksiyası zəifliyinə malikdir. Autentifikasiya olunmamış uzaq hücumçu, xarici entitet təriflərini ehtiva edən xüsusi hazırlanmış XML məlumatlarını göndərə bilər ki, bu da daxili faylların ifşa olunmasına, server tərəfli sorğu saxtakarlığına (SSRF) və ya parserin davranışından asılı olaraq digər təsirlərə səbəb ola bilər. Zəiflik, xarici entitetlərin heç bir məhdudiyyət olmadan həll edilməsinə icazə verən XML parserinin yanlış konfiqurasiyasından qaynaqlanır. Bu məhsul hazırda onların IAM (Internet Access Management) platformasına inteqrasiya edilmişdir və təsirlənmiş versiya diapazonu müəyyən edilməmişdir. Eksploytasiya sübutları ilk dəfə 2023-09-06 UTC tarixində Shadowserver Foundation tərəfindən müşahidə edilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Sangfor Technologies Co. Ltd. Sangfor Behavior Management System (DC Management System) | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.