开源身份管理系统Free IPA中的漏洞可导致XXE攻击

Jessica Haworth 代码卫士 2022-12-03

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

研究人员指出，Free IPA 中存在一个可导致XML外部实体 (XXE) 攻击的漏洞。Free IPA 是一款免费的开源身份管理系统，是红帽身份管理的上游项目。红帽提醒称，该漏洞编号为CVE-2022-2414，位于pki-core程序包中。

红帽指出，“解析XML文档时访问外部实体可导致XML外部实体攻击。该漏洞可导致远程攻击者通过发送特别构造的HTTP请求检索任意文件的内容。”

该漏洞的严重性评分为7.5分（高危），是由PT Swarm 公司的研究员 Egor Dimintrenko 发现的。

PT Swarm 评论称，“在某些情况下，它可导致攻击者读取Free IPA配置中的目录管理器密码并完全控制该基础设施。”

该漏洞影响红帽企业 Linux 6-9和红帽 Certificate System 9 和10。

红帽已修复除了不在受影响范围内的 Linux 6的所有版本中的该漏洞。目前不存在已知的缓解措施，红帽督促用户尽快更新。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

原文链接

https://portswigger.net/daily-swig/vulnerability-in-open-source-identity-management-system-free-ipa-could-lead-to-xxe-attacks

题图：Pixabay License‍

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

觉得不错，就点个 “在看” 或 "赞” 吧~