Szafirに外部エンティティ注入の脆弱性、ファイルを読み取られるおそれ
概要
Szafirは、細工されたXMLファイルに署名や検証をすると、利用者の端末内のファイルを読み取られるおそれがあるXXE注入の脆弱性です。影響を受けるのは2.0.0以前のSzafirと1.0以前のSzafir Weryfikującaで、Szafirは2.0 build 708で修正されています。Szafir Weryfikującaはサポート終了により修正されないため、最新の情報を確認してください。
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Szafirは、細工されたXMLファイルに署名や検証をすると、利用者の端末内のファイルを読み取られるおそれがあるXXE注入の脆弱性です。影響を受けるのは2.0.0以前のSzafirと1.0以前のSzafir Weryfikującaで、Szafirは2.0 build 708で修正されています。Szafir Weryfikującaはサポート終了により修正されないため、最新の情報を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Krajowa Izba Rozliczeniowa | Szafir |
2.0.0 以前 |
— |
| Krajowa Izba Rozliczeniowa | Szafir Weryfikująca |
1.0 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Szafir and Szafir Weryfikująca are vulnerable to XML External Entity (XXE) injection. When a user signs or verify a crafted XML file containing a DOCTYPE with an external DTD reference, the parser processes external entities, allowing an attacker to read arbitrary files from the victim's filesystem.
This issue was fixed in Szafir version 2.0 build 708. Szafir Weryfikująca is no longer supported (End of Life) and has not been fixed.
出典: CVE.org (CVE Program・cvelistV5) NVD
参照URL
- web cvd@cert.pl
- web cvd@cert.pl