Lỗi XML external entity đe dọa tính toàn vẹn trong Red Hat jackson-mapper-asl

Một lỗ hổng được phát hiện trong các thư viện org.codehaus.jackson:jackson-mapper-asl:1.9.x. Các lỗ hổng XML external entity tương tự CVE-2016-3720 cũng ảnh hưởng đến các thư viện codehaus jackson-mapper-asl, nhưng ở các class khác.

• org.codehaus.jackson:jackson-mapper-asl thuộc dòng 1.9.x được đánh dấu là affected trong bản ghi chuẩn hóa.
• Red Hat ghi nhận Red Hat Single Sign-On 7.3.3 phân phối jackson-mapper-asl-1.9.13.redhat-4.jar và được xem là bị ảnh hưởng; vấn đề được xử lý trong Red Hat Single Sign-On 7.3.8.
• Red Hat ghi nhận vấn đề đã được xử lý cho Red Hat JBoss Enterprise Application Platform 7.2 trên RHEL 6, RHEL 7 và RHEL 8, cũng như Red Hat JBoss Enterprise Application Platform 7.3 trên RHEL 6, RHEL 7 và RHEL 8, thông qua các errata tương ứng.
• Red Hat ghi nhận vấn đề đã được xử lý trong Red Hat Fuse 7.7.0, EAP-CD 20 Tech Preview và Red Hat Data Grid 7.3.7.
• Với Debian 8 Jessie, gói libjackson-json-java được sửa trong 1.9.2-3+deb8u1. Với Debian buster, gói được sửa trong 1.9.13-2~deb10u1.
• Red Hat từng đánh dấu Red Hat Mobile Application Platform và một số sản phẩm JBoss 6 nằm ngoài phạm vi hỗ trợ bảo mật cho vấn đề này; trạng thái đó không nên được diễn giải là sản phẩm không bị ảnh hưởng. Các nhánh, bản phân phối hoặc gói đóng gói khác không được nêu trên vẫn cần được xác minh riêng.

Điểm yếu thuộc CWE-611 trong org.codehaus.jackson:jackson-mapper-asl, nơi việc xử lý XML external entity không được hạn chế đầy đủ ở các class bị ảnh hưởng. Kẻ tấn công chỉ có thể khai thác thông qua luồng xử lý của ứng dụng có nhận hoặc xử lý XML chịu ảnh hưởng từ đầu vào của kẻ tấn công bằng thư viện dễ bị lỗi; đánh giá được cung cấp mô hình hóa luồng này là có thể truy cập qua mạng, không cần xác thực và không cần tương tác của người dùng. Bản ghi không nêu rõ các class, endpoint, định dạng XML hoặc cấu hình ứng dụng cụ thể, vì vậy không thể suy ra mức độ phơi nhiễm chỉ từ việc phát hiện file JAR. Lỗi được mô tả là tương tự một vấn đề XXE trước đó nhưng ảnh hưởng đến các class khác. Ghi chú thay đổi của các gói Debian cho biết bản sửa đã bật xử lý XML an toàn và vô hiệu hóa mở rộng entity, cho thấy kiểm soát entity expansion là ranh giới triển khai liên quan.

Đường khai thác được đánh giá là có thể truy cập qua mạng, độ phức tạp thấp, không yêu cầu quyền và không cần tương tác của người dùng. Điều kiện thực tế vẫn là phải có một ứng dụng hoặc dịch vụ đưa XML chịu ảnh hưởng từ đầu vào không tin cậy vào luồng xử lý của thư viện. Bản ghi không xác nhận việc khai thác đang diễn ra, exploit công khai hoặc sử dụng trong chiến dịch ransomware; trạng thái này là chưa rõ, không phải khẳng định không có khai thác. Các trường hợp chỉ dùng thư viện để xử lý XML nội bộ, không thể bị tác động bởi đầu vào không tin cậy, chưa được chứng minh là bị phơi nhiễm.

Khai thác thành công có thể khiến dữ liệu hoặc kết quả xử lý XML bị ảnh hưởng theo cách làm suy giảm tính toàn vẹn của ứng dụng. Đánh giá được cung cấp ghi nhận tác động cao đến tính toàn vẹn, nhưng không ghi nhận tác động đến tính bí mật hoặc tính sẵn sàng. Mức độ ảnh hưởng thực tế phụ thuộc vào code gọi thư viện, cấu hình parser và loại dữ liệu mà ứng dụng xử lý. Bản ghi không chứng minh được việc đọc file, SSRF, thực thi mã hoặc mất dịch vụ, vì vậy không nên mặc định các hậu quả đó.

Nếu một dịch vụ có thể đưa XML do bên ngoài kiểm soát vào luồng xử lý bị ảnh hưởng, dữ liệu hoặc kết quả xử lý mà ứng dụng tin cậy có thể bị tác động. Hậu quả vận hành có thể gồm phải rà soát các ứng dụng Java, application server và sản phẩm Red Hat đóng gói bản sao thư viện, sau đó triển khai nhiều bản cập nhật theo từng nhánh sản phẩm. Đánh giá được cung cấp xác định tác động đến tính toàn vẹn nhưng không xác định tác động đến tính bí mật hoặc tính sẵn sàng. Không có bằng chứng trong bản ghi cho thấy đã xảy ra rò rỉ dữ liệu, gián đoạn dịch vụ hoặc xâm nhập cụ thể.

1. Cập nhật gói hoặc sản phẩm lên bản sửa phù hợp với môi trường triển khai. Với Debian 8 Jessie, sử dụng libjackson-json-java 1.9.2-3+deb8u1. Với Debian buster, sử dụng libjackson-json-java 1.9.13-2~deb10u1.
2. Với sản phẩm Red Hat, áp dụng errata tương ứng cho Red Hat JBoss Enterprise Application Platform 7.2 hoặc 7.3, Red Hat Single Sign-On 7.3.8, Red Hat Fuse 7.7.0, EAP-CD 20 Tech Preview và Red Hat Data Grid 7.3.7 khi các sản phẩm này nằm trong phạm vi triển khai.
3. Ghi chú thay đổi của gói Debian cho biết bản sửa gồm bật Secure Processing trên DocumentBuilderFactory và đặt setExpandEntityReferences(false). Không nên tự động coi đây là bản vá thay thế cho mọi bản đóng gói khác nếu chưa xác minh với vendor hoặc maintainer.
4. Bản ghi không xác nhận một bản phát hành upstream độc lập dùng làm mốc sửa chung cho toàn bộ dòng org.codehaus.jackson:jackson-mapper-asl 1.9.x. Nếu chưa có bản cập nhật được vendor hỗ trợ, hạn chế các đường xử lý XML bị ảnh hưởng khỏi đầu vào mạng không tin cậy như biện pháp giảm phơi nhiễm tạm thời, đồng thời tìm hướng dẫn hỗ trợ cụ thể.
5. Sau khi cập nhật, xác minh artifact thực sự được nạp trong runtime, rà soát các bản sao JAR bị nhúng và kiểm tra lại mọi dịch vụ có xử lý XML từ nguồn bên ngoài.

1. Kiểm kê dependency trực tiếp và dependency truyền qua của ứng dụng Java, bao gồm các bản sao jackson-mapper-asl được đóng gói bên trong application server hoặc file JAR của sản phẩm.
2. Đối chiếu artifact đang chạy với các nhánh và bản cập nhật đã được xác nhận trong phần affected_summary; không chỉ dựa vào trạng thái của package manager.
3. Xác định các luồng gọi jackson-mapper-asl để phân tích XML và kiểm tra xem XML có thể bị gửi hoặc sửa bởi nguồn không tin cậy hay không.
4. Kiểm tra cấu hình và hành vi của parser trong runtime, đặc biệt là việc hạn chế external entity và entity expansion.
5. Có thể xem xét log ứng dụng và request để tìm lỗi xử lý XML bất thường như một biện pháp thận trọng, nhưng không có IOC hoặc mẫu log cụ thể nào được xác nhận cho lỗi này. Việc không thấy log như vậy không chứng minh hệ thống an toàn.