CVE-2018-1000632
Yüksek
Açıklama
2.1.1 sürümü öncesindeki dom4j sürümleri, Element sınıfındaki addElement ve addAttribute metodlarında bir CWE-91: XML Injection zafiyeti içermektedir; bu durum, bir saldırganın XML enjeksiyonu yoluyla XML belgelerini manipüle etmesine neden olabilir. Bu saldırının, bir saldırganın XML belgesinde öznitelikler veya elementler belirlemesi yoluyla gerçekleştirilebildiği görülmektedir. Bu zafiyetin 2.1.1 veya daha yeni sürümlerde giderildiği anlaşılmaktadır.
ÖnemYüksek
CVSS7.5
İstismar olasılığı—
Ürün
Dom4j
Yayın20 Ağu 2018
İlk görülme20 Ağu 2018
Nasıl düzeltilir
Güncelleyin
- dom4j_project dom4j2.0.3, 2.1.1 ya da sonraki bir sürüm
- org.dom4j:dom4j2.0.3, 2.1.1 ya da sonraki bir sürüm
Üretici duyuruları
- access.redhat.com/errata/RHSA-2019:0364
- access.redhat.com/errata/RHSA-2019:0362
- access.redhat.com/errata/RHSA-2019:0365
- access.redhat.com/errata/RHSA-2019:0380
- access.redhat.com/errata/RHSA-2019:1160
- access.redhat.com/errata/RHSA-2019:1162
- access.redhat.com/errata/RHSA-2019:1159
- access.redhat.com/errata/RHSA-2019:1161
- access.redhat.com/errata/RHSA-2019:3172
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/IOOVVCRQE6ATFD2JM2EMDXOQXTRIVZGP/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/KJULAHVR3I5SX7OSMXAG75IMNSAYOXGA/
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dom4j_project dom4j | 2.0.0 ≤ v < 2.0.3, 2.1.0 ≤ v < 2.1.1 | 2.0.3, 2.1.1 |
| debian debian_linux | 8.0 | — |
| oracle flexcube_investor_servicing | 12.0.4, 12.1.0, 12.3.0, 12.4.0, 14.0.0 | — |
| oracle primavera_p6_enterprise_project_portfolio_management | 16.1.0.0 ≤ v ≤ 16.2.20.1, 17.1.0.0 ≤ v ≤ 17.12.17.1, 18.1.0.0 ≤ v ≤ 18.8.19.0, 19.12.0.0 ≤ v ≤ 19.12.6.0 | — |
| oracle rapid_planning | 12.1, 12.2 | — |
| oracle retail_integration_bus | 15.0, 16.0 | — |
| oracle utilities_framework | 4.3.0.2.0 ≤ v ≤ 4.3.0.6.0, 2.2.0, 4.2.0.2.0, 4.2.0.3.0, 4.4.0.0.0, 4.4.0.2 | — |
| redhat satellite | 6.6 | — |
| redhat satellite_capsule | 6.6 | — |
| redhat jboss_enterprise_application_platform | 6.0.0, 6.4.0, 7.1.0 | — |
| netapp oncommand_workflow_automation | Aralık belirtilmemiş | — |
| netapp snap_creator_framework | Aralık belirtilmemiş | — |
| netapp snapcenter | Aralık belirtilmemiş | — |
| netapp snapmanager | Aralık belirtilmemiş | — |
| org.dom4j:dom4jMaven | v < 2.0.3, 2.1.0 ≤ v < 2.1.1 | 2.0.3, 2.1.1 |
| dom4j:dom4jMaven | v ≤ 1.6.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.