Micro Focus Fortify Audit Workbench和Fortify Software Security Center XML外部实体注入漏洞

CVE编号

CVE-2018-6486

利用情况

暂无

补丁情况

N/A

披露时间

2018-02-03

漏洞描述

Micro Focus Fortify Audit Workbench（AWB）和Micro Focus Fortify Software Security Center（SSC）都是英国Micro Focus公司的产品。Micro Focus Fortify Audit Workbench（AWB）是一套软件安全审计平台。Micro Focus Fortify Software Security Center（SSC）是一套软件安全管理平台。
Micro Focus Fortify AWB和Micro Focus Fortify SSC中存在XML外部实体注入漏洞。攻击者可利用该漏洞获取敏感信息的访问权限或造成拒绝服务。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://softwaresupport.softwaregrp.com/document/-/facetsearch/document/KM03083653

参考链接
http://www.securityfocus.com/bid/102902
https://softwaresupport.softwaregrp.com/document/-/facetsearch/document/KM03083653

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	microfocus	fortify_audit_workbench	16.10	-
	运行在以下环境
	应用	microfocus	fortify_audit_workbench	16.20	-
	运行在以下环境
	应用	microfocus	fortify_audit_workbench	17.10	-
	运行在以下环境
	应用	microfocus	fortify_software_security_center	16.10	-
	运行在以下环境
	应用	microfocus	fortify_software_security_center	16.20	-
	运行在以下环境
	应用	microfocus	fortify_software_security_center	17.10	-

CVSS3评分 9.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-611 XML外部实体引用的不恰当限制（XXE）