ProselfのXML外部実体参照（XXE）に関する脆弱性を悪用する攻撃の注意喚起

JPCERT-AT-2023-0022 JPCERT/CC 2023-10-10（公開） 2023-10-18（更新） 2023-10-26（更新） I. 概要2023年10月10日、株式会社ノースグリッドはオンラインストレージ構築パッケージ製品「Proself」について、XML外部実体参照（XXE）に関する脆弱性があることを公開しました。 株式会社ノースグリッド [至急]Proselfのゼロデイ脆弱性(CVE-2023-45727)による攻撃発生について(更新) https://www.proself.jp/information/153/ ノースグリッド社によると、本脆弱性の悪用を含む一連の攻撃が確認されています。攻撃を受けた場合、システム内の任意のファイルを外部へ送信されるとのことです。同社の情報には、攻撃の痕跡を確認する手順、アップデート版をリリースするまでの暫定対応方法が掲載され

[csal8040]

“2023年10月10日、株式会社ノースグリッドはオンラインストレージ構築パッケージ製品「Proself」について、XML外部実体参照（XXE）に関する脆弱性があることを公開しました。”

[deep_one]

「XML外部実体参照（XXE）」分からん。（調べた）単にentityを呼び出すときの処理のことらしい。entityの解決をする処理が高い特権で動作しているからそれを利用する、とかか。