PowSyBl Core XML Reader 允许 XXE 和 SSRF

该 SSRF 漏洞源于 com.powsybl.commons.xml.XmlReader 类中存在的问题，该类在处理来自不受信任用户的 XML 输入时存在安全风险。攻击者可以通过构造恶意的 XML 请求，诱使服务器向内部网络或外部资源发起请求，从而读取敏感文件，例如包含凭据或配置信息的系统文件。这种攻击可能导致信息泄露、权限提升，甚至可能被用于进一步的攻击活动。由于该组件可能被用于多租户应用程序，因此潜在影响范围可能非常广泛。

Applications utilizing com.powsybl:powsybl-commons versions 6.7.1 or earlier are at risk. This includes Java-based applications, particularly those that process XML data from untrusted sources, such as multi-tenant applications or those integrating with external systems. Legacy systems that have not been regularly updated are also at increased risk.

• java / server:

find / -name "powsybl-commons-*.jar" -print0 | xargs -0 java -jar <jar_file> -Djava.security.xml.external.entities=null -Djava.security.xml.external.dtd=null

• linux / server:

journalctl -u <application_name> | grep -i "xml parsing" 

• generic web:

curl -I <application_url>/xml-endpoint | grep -i "Server: Powsybl"

1. 2025-06-19Disclosure

   disclosure

1. 已保留2025-05-05
2. 发布日期2025-06-19
3. 修改日期2025-06-20
4. EPSS 更新日期2026-03-23

最有效的缓解措施是升级到 6.7.2 或更高版本，该版本修复了该漏洞。如果无法立即升级，可以考虑以下临时缓解措施：严格限制 XML 输入的来源，实施输入验证和清理机制，以防止恶意 XML 负载的注入。此外，可以配置网络防火墙或代理服务器，以阻止服务器向未经授权的资源发起请求。监控系统日志，查找异常的网络连接或文件访问行为，有助于及早发现潜在的攻击。