🇰🇷 한글 설명
http4s-scala-xml의 특정 버전에서 XML 메시지 본문을 파싱할 때 보안 설정이 누락된 SAXParserFactory를 사용하여 XML 외부 엔티티(XXE) 공격에 취약합니다. 공격자는 이를 통해 로컬 파일 노출, SSRF 공격 또는 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
웹사이트가 XML이라는 형식의 데이터를 읽을 때, 외부의 위험한 정보를 함부로 가져오지 못하게 막는 설정이 빠져 있는 상태입니다. 이를 통해 해커가 서버 내부의 파일을 훔쳐보거나 서버를 마비시킬 수 있습니다.
🇺🇸 원문 (English)
http4s-scala-xml provides `EntityDecoder[F, scala.xml.Elem]` instances that parse XML message bodies. Prior to versions 0.24.1 and 1.0.0-M39, these decoders used a `javax.xml.parsers.SAXParserFactory` obtained from `SAXParserFactory.newInstance` without any security configuration. With the JDK's default settings, the parser resolves DOCTYPE declarations, external general and parameter entities, and external DTDs.An application that uses these decoders to parse untrusted XML is vulnerable to XML External Entity (XXE) attacks. An attacker can craft a request that discloses local files readable by the service process, performs server-side request forgery (SSRF) against internal network resources, and/or causes denial of service through entity expansion. Versions 0.24.1 and 1.0.0-M39 fix the issue.
📍 영향받는 시스템
http4s-scala-xml versions prior to 0.24.1 and 1.0.0-M39
⚔️ 공격 벡터
조작된 DOCTYPE 선언 및 외부 엔티티가 포함된 XML 요청을 전송하여 공격
🛡️ 대응 방법
http4s-scala-xml 라이브러리를 0.24.1 또는 1.0.0-M39 이상의 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 http4s-scala-xml의 버전을 확인하여 0.24.1 또는 1.0.0-M39 미만인지 체크
mvn dependency:list | grep 'http4s-scala-xml'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L
💻 영향받는 소프트웨어
IBM WebSphere Application Server