CVE-2023-7307
Açıklama
Sangfor Behavior Management System (Çince belgelerde DC Management System olarak da adlandırılır), /src/sangforindex uç noktasında bir XML dış varlık (XXE) enjeksiyonu zafiyeti içermektedir. Kimliği doğrulanmamış uzak bir saldırgan, harici varlık tanımları içeren özel olarak hazırlanmış XML verileri göndererek dahili dosyaların ifşa edilmesine, sunucu taraflı istek sahteciliğine (SSRF) veya ayrıştırıcı davranışına bağlı olarak diğer etkilere yol açabilir. Zafiyet, XML ayrıştırıcısının harici varlıkların kısıtlama olmaksızın çözümlenmesine izin veren hatalı yapılandırmasından kaynaklanmaktadır. Bu ürün artık IAM (Internet Access Management) platformuna entegre edilmiştir ve etkilenen versiyon aralığı belirsizdir. İstismara dair kanıtlar ilk kez 2023-09-06 UTC tarihinde Shadowserver Foundation tarafından gözlemlenmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Sangfor Technologies Co. Ltd. Sangfor Behavior Management System (DC Management System) | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.