Nowa podatność XXE w uploadzie awatarów - niebezpieczeństwo dla serwerów!
Nowa podatność XXE w uploadzie awatarów - niebezpieczeństwo dla serwerów!
W świecie bezpieczeństwa IT, podatność XXE (XML External Entity) to temat, który nie traci na aktualności. Ostatnio pojawiły się przypadki, w których atakujący wykorzystują upload awatara do odczytu plików z serwera. Jak to możliwe? Wystarczy umieścić odpowiednio spreparowany plik XML w metadanych pliku JPEG!
W tym przypadku, plik XML zawiera encję zewnętrzną, co pozwala na czytanie plików z serwera. Taka podatność została zgłoszona na platformie Hackerone, a jej potencjalne skutki mogą być poważne. Wskazuje to na to, że parsery XML-a mogą działać w aplikacjach w niespodziewanych miejscach, co stwarza poważne zagrożenie.
Wnioski są jednoznaczne: wyłączcie przetwarzanie encji zewnętrznych w każdym miejscu w Waszych aplikacjach, aby zminimalizować ryzyko. Pamiętajcie, że takie luki mogą prowadzić do nieautoryzowanego dostępu do wrażliwych danych.
Na podstawie: Źródła
