CVE-2024-55875

http4k, Kotlin HTTP uygulamaları için fonksiyonel bir araç takımıdır. Versiyon 6.50.0.0 öncesinde, http4k'nın istekler içindeki kötü amaçlı XML içeriklerini işlemesi sırasında potansiyel bir XXE (XML External Entity Injection) zafiyeti bulunmaktadır; bu durum saldırganların sunucudaki yerel hassas bilgileri okumasına, Server-side Request Forgery tetiklemesine ve hatta bazı durumlarda kod çalıştırmasına izin verebilir. v5.41.0.0 / v4.50.0.0 ile yayınlanan orijinal düzeltme, varsayılan `DocumentBuilderFactory` üzerinde `ACCESS_EXTERNAL_DTD=""`, `ACCESS_EXTERNAL_SCHEMA=""` ve `isExpandEntityReferences=false` ayarlarını yaparak belgelenmiş harici varlık saldırı sınıfını (SSRF, yerel dosya ifşası, kod çalıştırma) kapatmıştır. Ancak bir boşluk kalmıştır: ayrıştırıcı, harici varlık çözünürlüğü engellenmiş olsa bile `<!DOCTYPE>` bildirimleri içeren belgeleri kabul etmeye devam etmiştir. Bu durum, güvenilmeyen XML üzerinde `Body.xml()` veya `Document.asXmlDocument()` kullanan herhangi bir uygulamaya karşı billion-laughs tarzı dahili varlık genişletme DoS saldırılarını açık bırakmıştır. v6.50.0.0 versiyonu, `defaultXmlParsingConfig` kısmına `disallow-doctype-decl=true` ve `FEATURE_SECURE_PROCESSING=true` ekleyerek bu boşluğu kapatmaktadır. Artık `<!DOCTYPE>` içeren herhangi bir belge, ayrıştırma aşamasında reddedilmektedir.