中華資安國際發現CVE弱點，國際知名開源專案具有一項漏洞

中華資安國際Red Team團隊發現，國際知名開源專案具有一項漏洞(CVE-2022-40705)，包含XML外部實體注入弱點，影響範圍遍及國內外企業。

【風險等級】高度威脅

【影響範圍】開源專案2.2及最新的版本

【細節描述】

1. CVE-2022-40705：攻擊者在未登入情況下，可透過特定封包來達到目錄列舉及檔案讀取，此漏洞可歸類於OWASP TOP 10 2021之A03 – Injection類型中。

由於此開源專案已不再維護，若機關或企業有使用此開源專案，建議儘快搬移至其它仍有在維護的專案如Apache CXF (https://cxf.apache.org) 或Apache Axis (https://axis.apache.org)。

中華資安國際建議採取以下防範措施：

1. 使用者：儘速將相關程式碼搬移至仍在維護的專案。
2. 系統開發商：在程式開發過程中應針對輸入參數做檢查。
3. 系統開發商：建議導入安全程式開發流程（SSDLC）、事前進行安全程式碼開發教育訓練，並定期執行源碼檢測及滲透測試等安全檢測，才能有效地確保產品及用戶安全。

【參考資訊】

NIST(CVE-2022-40705)