CVE-2024-55875
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：http4k 在处理恶意 XML 时存在 **XXE (XML外部实体注入)** 漏洞。
💥 **后果**：攻击者可 **读取本地敏感文件**、触发 **SSRF**，甚至 **执行代码**。
⚠️ 这是一个典型的 **代码逻辑缺陷**，非配置错误。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE ID**：CWE-200 (信息泄露)。
🐛 **缺陷点**：XML 解析器未正确禁用外部实体解析。
📍 **代码位置**：`org/http4k/format/Xml.kt` 中的 XML 处理逻辑 (Commit 35297adc 修复前)。
👉 本质是 **输入验证缺失**，导致恶意 XML 被解析器执行。
Q3影响谁？（版本/组件）
📦 **产品**：http4k (轻量级 HTTP 工具包)。
📉 **受影响版本**：**5.41.0.0 之前**的所有版本。
✅ **安全版本**：5.41.0.0 及以上。
👥 **用户群**：使用 Kotlin/Java 构建 HTTP 服务，且涉及 XML 解析的团队。
Q4黑客能干啥？（权限/数据）
🕵️ **权限提升**：无需认证 (PR:N)。
📂 **数据窃取**：读取服务器 **本地敏感信息** (C:H)。
🔄 **横向移动**：触发 **服务器端请求伪造 (SSRF)** (I:H)。
💻 **远程执行**：在特定条件下可 **执行代码** (A:H)。
📊 **CVSS**：9.8 (Critical)，几乎满分危险。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**极低**。
🔑 **认证**：不需要 (PR:N)。
🖱️ **用户交互**：不需要 (UI:N)。
🌐 **攻击向量**：网络远程 (AV:N)。
🎯 **复杂度**：低 (AC:L)，只需发送恶意 XML 请求即可触发。
Q6有现成Exp吗？（PoC/在野利用）
🧪 **PoC 状态**：已有公开 PoC。
🔗 **链接**：GitHub 上由 `JAckLosingHeart` 发布的 POC 仓库。
📢 **披露**：已通过 GitHub Security Advisories (GHSA-7mj5-hjjj-8rgw) 披露。
⚠️ **在野利用**：数据未明确提及在野利用，但 PoC 公开意味着 **利用风险极高**。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. 检查 `build.gradle` 或 `pom.xml` 中 http4k 版本是否 **< 5.41.0.0**。
2. 扫描代码中是否直接调用 `Xml.kt` 处理不受信任的 XML 输入。
3. 使用 SAST 工具扫描 **XML 解析器配置**，查找未禁用外部实体的代码段。
📝 **特征**：`org.http4k.format.Xml` 相关调用。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：**已修复**。
📅 **发布时间**：2024-12-12。
🔧 **修复方式**：通过 Commit `35297adc6d6aca4951d50d8cdf17ff87a8b19fbc` 修复。
✅ **建议**：立即升级至 **5.41.0.0** 或更高版本。
Q9没补丁咋办？（临时规避）
🚫 **无补丁规避**：
1. **升级版本**是唯一彻底解决方案。
2. 若无法升级，**严格过滤/清洗** 所有传入的 XML 输入。
3. 禁用 XML 解析器中的 **外部实体 (External Entities)** 和 **DTD** 处理。
4. 部署 WAF 规则拦截包含 `<!ENTITY` 或 `SYSTEM` 的恶意 XML 载荷。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急 (Critical)**。
📈 **CVSS 9.8**：高危漏洞，影响机密性、完整性和可用性。
⏳ **行动**：
- **立即** 升级 http4k 至 5.41.0.0+。
- 若涉及外部暴露服务，需 **立即** 实施临时缓解措施。
- 不要等待，此漏洞利用简单且后果严重。