漏洞信息详情

Apache Axis2文档类型声明处理多个安全漏洞

• CNNVD编号：CNNVD-201006-358
• 危害等级： 中危
  
• CVE编号： CVE-2010-1632
• 漏洞类型： 输入验证错误
• 发布时间： 2010-06-24
• 威胁类型： 远程
• 更新时间： 2020-02-21
• 厂        商： ibm
• 漏洞来源： Jan Freitag

漏洞简介

Axis2是一个Web服务的核心支援引擎。

根据SOAP 1.1规范的规定，SOAP消息总不能包含有文档类型声明(DTD)。在Axis2中，是通过StAXSOAPModelBuilder类来实现这个限制的。这个方法存在两个问题：

1 仅适用于SOAP绑定，而支持纯XML消息的HTTP绑定仍允许请求消息中存在DTD。

2 在处理带有DTD的文档时，StAXSOAPModelBuilder仅在从StAX解析器接收到DTD事件后才会报告错误，而这时StAX解析器可能已经处理或部分处理了DTD。

这说明Axis2受基于DTD的XML攻击的影响。有两种类型的攻击：

* DTD可能引用其他的文档，也就是内部子集中所声明的DTD或外部实体。如果对XML解析器配置了默认的实体解析器(在本文所述情况下为Axis2)，就会允许攻击者要求解析器访问任意文件。由于可能将URL用作系统ID，这包括仅可在服务器所部署的网络中访问的远程资源。

* 尽管XML不允许递归实体定义，但允许嵌套的实体定义。如果文档中包含有深度嵌套的实体定义，解析该文档就会在实体展开期间导致非常高的CPU和内存消耗。

漏洞公告

目前厂商已经发布了升级补丁以修复这个安全问题，补丁下载链接：

https://issues.apache.org/jira/browse/AXIS2-4450

参考网址

来源:http://nvd.nist.gov/nvd.cfm?cvename=CVE-2010-1632※http://www.securityfocus.com/bid/40976※http://www.nsfocus.net/vulndb/15274

链接:无

来源:www.ibm.com

链接:https://www.ibm.com/blogs/psirt/security-bulletin-multiple-vulnerabilities-identified-in-ibm-storediq/

受影响实体

• Ibm Websphere_application_server:7.0.0.4  
• Ibm Websphere_application_server:7.0.0.5  
• Ibm Websphere_application_server:7.0.0.3  
• Ibm Websphere_application_server:7.0.0.9  
• Ibm Websphere_application_server:7.0.0.1  

补丁

• 7.0.0.11: WebSphere Application Server V7.0 Fix Pack 11 for AIX
• 7.0.0.11: WebSphere Application Server V7.0 Fix Pack 11 for HP-UX
• 7.0.0.11: WebSphere Application Server V7.0 Fix Pack 11 for HP-UX
• 7.0.0.11: WebSphere Application Server V7.0 Fix Pack 11 for HP-UX
• 7.0.0.11: WebSphere Application Server V7.0 Fix Pack 11 for Windows