FreePlane XML外部实体注入漏洞

CVE编号

CVE-2018-1000069

利用情况

暂无

补丁情况

官方补丁

披露时间

2018-03-14

漏洞描述

FreePlane是一套免费的开源思维导图制作工具。mindmap loader是其中的一个思维导图加载程序。XML Parser是其中的一个XML文件解析器。
FreePlane 1.5.9及之前的版本中的mindmap loader的XML Parser存在XML外部实体注入漏洞。攻击者可通过诱使用户打开特制的思维导图文件利用该漏洞获取数据。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.freeplane.org/wiki/index.php/Fixed_security_vulnerabilities

参考链接
https://lists.debian.org/debian-lts-announce/2018/03/msg00019.html
https://www.debian.org/security/2018/dsa-4175
https://www.freeplane.org/wiki/index.php/XML_External_Entity_vulnerability_in...
https://www.youtube.com/watch?v=7IXtiTNilAI

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	freeplane	freeplane	*		Up to (including) 1.5.9
	运行在以下环境
	系统	debian_7	freeplane	*		Up to (excluding) 1.1.3-2+deb7u1
	运行在以下环境
	系统	debian_8	freeplane	*		Up to (excluding) 1.3.12-1+deb8u1
	运行在以下环境
	系统	debian_9	freeplane	*		Up to (excluding) 1.5.18-1+deb9u1

阿里云评分 2.9

• 攻击路径 本地
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 100

CWE-ID 漏洞类型 CWE-611 XML外部实体引用的不恰当限制（XXE）