Vulnérabilité dans petl (CVE-2020-29128)
Résumé
Vulnérabilité dans petl (CVE-2020-29128). L'exploitation peut entraîner la prise de contrôle totale du système.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Impact
Information Disclosure
Summary
petl is a Python library that provides functions for extraction, transformation, and loading (ETL) of data.
petl before 1.68, in some configurations, allows resolution of entities in XML input.
An attacker who is able to submit XML input to an application using petl can disclose arbitrary files on the file system in the context of the user under which the application is running.
Affected Applications
Applications that:
- accept attacker-supplied XML input that is processed using petl < 1.68
- return the response generated by petl back to the attacker
- configure lxml as the underlying XML processing library used by petl
- have read privileges in filesystem files with sensitive information
Mitigation
Update to petl >= 1.68
Workarounds
- Assure there is no user/external access to the application using petl
- Assure your application is not using the function fromxml()
References
- https://github.com/nvn1729/advisories/blob/master/cve-2020-29128.md
- https://github.com/petl-developers/petl/pull/527
- https://github.com/petl-developers/petl/releases/tag/v1.6.8
- https://petl.readthedocs.io/en/stable/changes.html
- https://owasp.org/www-community/vulnerabilities/XML_External_Entity_(XXE)_Processing
For more information
If you have any questions or comme…
Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une faille nommée CVE-2020-29128 a été découverte dans petl.
Gravité : Info. Faible gravité ou non encore évaluée.
Ce que vous pouvez faire : mettez à jour le logiciel concerné. En cas de doute, contactez votre service informatique ou recherchez "petl CVE-2020-29128" sur le site de l'éditeur.
CVE-2020-29128 (petl). Gravité : Info.
Plan de réponse :
- Vérifier l'avis de l'éditeur (versions affectées, version corrigée).
- Si une version vulnérable tourne en production, planifier l'intervention (urgence selon KEV/CVSS).
- Sans correctif disponible, mitiger via règle WAF, désactivation de la fonctionnalité, etc.
- Surveiller les logs / SIEM pour les IOC et signatures de PoC connus.
PoC et correctifs : voir la section « Références », MITRE et NVD.
Une faille (CVE-2020-29128) dans petl. Une faille logicielle sérieuse a été identifiée.
Versions ciblées de petl (voir l'avis éditeur). Si en production, identifiez l'exposition immédiatement.
Gravité : Info. Faible gravité ou non encore évaluée.
Appliquez la version corrigée indiquée dans l'avis éditeur.
Si aucun correctif n'est disponible, désactivez la fonctionnalité concernée, appliquez des règles WAF, bloquez via ACL réseau ou isolez la version vulnérable.
Vérifiez les versions, analysez les dépendances via SBOM, et surveillez le SIEM pour les IOC et signatures de PoC associés.
Paquets affectés
Références
- package github.com
- patch github.com
- web github.com
- web github.com
- web petl.readthedocs.io
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web owasp.org