编译：代码卫士

Apache Ivy 中存在一个 XPath 盲注漏洞，可导致攻击者提取数据并访问仅限运行 Apache Ivy 的机器访问的敏感信息。

该漏洞位于 Apache Ivy 2.5.2以下版本中，当解析自身配置 Maven POMs时同时解析 XML 文件时就会触发，可导致外部文档下载和扩展任何实体引用。威胁行动者可利用该 XPath 盲注漏洞以不同方式操纵和执行 Ivy 或访问机器中的敏感信息。该漏洞是因为对XML外部实体引用的限制不当造成的。

Apache Ivy 是一款依赖管理器，负责解析项目依赖且是 Apache Ant 项目的一部分，通过使用 XML 文件定义项目依赖，列出构建项目的必要资源。该漏洞的CVE编号是CVE-2022-46751，CVSS 评分尚未给出。

Apache Ivy 2.5.2 版本发布

在 Aapche Ivy 版本2.5.2 之前，Apache Ivy 在解析 Maven POMs 和其它文件时都会进行DTD 处理。不过，新发布的Apache Ivy 2.5.2 版本已为除了 Maven POMs 以外的所有文件禁用了DTD 处理，仅允许包含用于处理现有 Maven POMs 的DTD 片段。

它们并非合法的 XML 文件但获得 Maven POMs 接受。Apache Ivy 是 Apache Ant 项目的一部分，负责自动化源自 Apache Tomcat 项目2000软件构建流程。

建议用户升级至最新版本Apache Ivy 2.5.2 来阻止漏洞遭利用。或者用户可使用 Java 系统属性来限制对外部DTD的处理。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

推荐阅读

未修复的 Apache Tomcat 服务器传播 Mirai 僵尸网络恶意软件

Apache Jackrabbit 中存在严重的RCE漏洞

Apache Superset 会话验证漏洞可导致攻击者访问未授权资源

【已复现】Apache Kafka Connect JNDI注入漏洞(CVE-2023-25194)安全风险通告

在线阅读版：《2023中国软件供应链安全分析报告》全文

奇安信入选全球《静态应用安全测试全景图》代表厂商

奇安信入选全球《软件成分分析全景图》代表厂商

原文链接

https://gbhackers.com/apache-ivy-injection-flaw/

题图：Pexels License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~