Gematik Referenzvalidator has an XXE vulnerability that can lead to a Server Side Request Forgery attack
Impact
The profile location routine in the referencevalidator commons package is vulnerable to XML External Entities attack due to insecure defaults of the used Woodstox WstxInputFactory. A malicious XML resource can lead to network requests issued by referencevalidator and thus to a Server Side Request Forgery attack.
The vulnerability impacts applications which use referencevalidator to process XML resources from untrusted sources.
Patches
The problem has been patched with the 2.5.1 version of the referencevalidator. Users are strongly recommended to update to this version or a more recent one.
Workarounds
A pre-processing or manual analysis of input XML resources on existence of DTD definitions or external entities can mitigate the problem.
References
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Java / Kotlin (Maven) | de.gematik.refv.commons:commons | < 2.5.1 | 2.5.1 |
Odnośniki
- https://github.com/gematik/app-referencevalidator/security/advisories/GHSA-68j8-fp38-p48q
- https://nvd.nist.gov/vuln/detail/CVE-2024-46984
- https://github.com/gematik/app-referencevalidator/commit/d6d27613fab7a8dd08534946f29e0c51f319cad6
- https://cheatsheetseries.owasp.org/cheatsheets/XML_External_Entity_Prevention_Cheat_Sheet.html#transformerfactory
- https://github.com/gematik/app-referencevalidator
- https://github.com/gematik/app-referencevalidator/releases/tag/2.5.1
- https://owasp.org/www-community/attacks/Server_Side_Request_Forgery
- https://owasp.org/www-project-top-ten/2017/A4_2017-XML_External_Entities_(XXE)
- https://owasp.org/www-project-top-ten/2017/A4_2017-XML_External_Entities_(XXE)#
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N- Słabość (CWE)
CWE-611- Platforma
- Java / Kotlin (Maven)
- Paczka
de.gematik.refv.commons:commons- Ujawniono
- 19.09.2024
- Aktualizacja
- 11.10.2026 12:21
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-68j8-fp38-p48q - CC BY 4.0
Historia podatności: de.gematik.refv.commons:commons
Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.