【漏洞通告】Apache Any23 遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2021-40146)
0x00 漏洞概述
0x01 漏洞詳情
Apache Everything To Triples (Any23) 是一個(gè)庫(kù)、Web 服務(wù)和命令行工具，主要用于從各種 Web 文檔中提取 RDF 格式的結(jié)構(gòu)化數(shù)據(jù)。
2021年9月11日，Apache發(fā)布安全公告，修復(fù)了Apache Any23中的一個(gè)遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2021-40146)，該漏洞存在于Any23 YAMLExtractor.java中，遠(yuǎn)程攻擊者可利用此漏洞在目標(biāo)系統(tǒng)上執(zhí)行任意代碼。
此外，在Any23的StreamUtils.java文件中發(fā)現(xiàn)一個(gè)XML外部實(shí)體(XXE)注入漏洞(CVE-2021-38555)，攻擊者可以利用此漏洞干擾應(yīng)用程序?qū)ML的處理，實(shí)現(xiàn)查看應(yīng)用服務(wù)器文件系統(tǒng)上的文件，并與應(yīng)用程序本身可以訪問的任何后端或外部系統(tǒng)進(jìn)行交互。
影響范圍
Apache Any23版本 < 2.5
0x02 處置建議
目前上述漏洞已在Apache Any23 2.5版本中修復(fù)(已發(fā)布)，建議受影響用戶及時(shí)升級(jí)更新。
下載鏈接：http://any23.apache.org/download.html
0x03 參考鏈接
http://mail-archives.apache.org/mod_mbox/www-announce/202109.mbox/%3Cpony-b7497055821405926d63668ab1112e0f108e2346-24b556bb9c8200804abff20daacf3205f453d88d@announce.apache.org%3E
http://mail-archives.apache.org/mod_mbox/www-announce/202109.mbox/%3Cpony-b7497055821405926d63668ab1112e0f108e2346-fc7885638697ea0fec1186b16e985c55e5d49a83@announce.apache.org%3E
0x04 更新版本
版本日期修改內(nèi)容
V1.02021-09-13首次發(fā)布
0x05 文檔附錄
CNVD：www.cnvd.org.cn
CNNVD：www.cnnvd.org.cn
CVE：cve.mitre.org
NVD：nvd.nist.gov
CVSS：www.first.org
來(lái)源：維他命安全
