PowSyBl Core XML Reader staat XXE en SSRF toe

De com.powsybl.commons.xml.XmlReader klasse is kwetsbaar wanneer onbetrouwbare gebruikers XML-gegevens kunnen indienen. Een succesvolle exploitatie kan een aanvaller in staat stellen om gevoelige bestanden op het systeem te lezen, waaronder configuratiebestanden, sleutels of andere vertrouwelijke informatie. Dit kan leiden tot privilege-escalatie en verdere compromittering van het systeem. De XXE component van de kwetsbaarheid maakt het mogelijk om externe entiteiten te injecteren, wat kan leiden tot denial-of-service of zelfs de mogelijkheid om interne systemen te scannen. De SSRF component stelt een aanvaller in staat om verzoeken te sturen namens de server, mogelijk toegang te krijgen tot interne bronnen die anders niet toegankelijk zouden zijn.

Applications utilizing com.powsybl:powsybl-commons versions 6.7.1 or earlier are at risk. This includes Java-based applications, particularly those that process XML data from untrusted sources, such as multi-tenant applications or those integrating with external systems. Legacy systems that have not been regularly updated are also at increased risk.

• java / server:

find / -name "powsybl-commons-*.jar" -print0 | xargs -0 java -jar <jar_file> -Djava.security.xml.external.entities=null -Djava.security.xml.external.dtd=null

• linux / server:

journalctl -u <application_name> | grep -i "xml parsing" 

• generic web:

curl -I <application_url>/xml-endpoint | grep -i "Server: Powsybl"

1. 2025-06-19Disclosure

   disclosure

1. Gereserveerd2025-05-05
2. Gepubliceerd2025-06-19
3. Gewijzigd2025-06-20
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden naar versie 6.7.2 van com.powsybl:powsybl-commons. Indien een directe upgrade niet mogelijk is, overweeg dan om de XML-parsing te beperken tot vertrouwde bronnen en input. Implementeer inputvalidatie om te voorkomen dat onbetrouwbare XML-gegevens worden verwerkt. Een Web Application Firewall (WAF) kan worden geconfigureerd om SSRF-pogingen te detecteren en te blokkeren. Controleer de configuratie van de XmlReader klasse om te zorgen dat deze niet wordt gebruikt met onbetrouwbare input. Na de upgrade, verifieer de fix door te proberen een bestand te lezen waarvoor de gebruiker normaal gesproken geen rechten zou hebben.