Gematik Referenzvalidator has an XXE vulnerability that can lead to a Server Side Request Forgery attack
Impact
The profile location routine in the referencevalidator commons package is vulnerable to XML External Entities attack due to insecure defaults of the used Woodstox WstxInputFactory. A malicious XML resource can lead to network requests issued by referencevalidator and thus to a Server Side Request Forgery attack.
The vulnerability impacts applications which use referencevalidator to process XML resources from untrusted sources.
Patches
The problem has been patched with the 2.5.1 version of the referencevalidator. Users are strongly recommended to update to this version or a more recent one.
Workarounds
A pre-processing or manual analysis of input XML resources on existence of DTD definitions or external entities can mitigate the problem.
References
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Java / Kotlin (Maven) | de.gematik.refv.commons:commons | < 2.5.1 | 2.5.1 |
Verweise
- https://github.com/gematik/app-referencevalidator/security/advisories/GHSA-68j8-fp38-p48q
- https://nvd.nist.gov/vuln/detail/CVE-2024-46984
- https://github.com/gematik/app-referencevalidator/commit/d6d27613fab7a8dd08534946f29e0c51f319cad6
- https://cheatsheetseries.owasp.org/cheatsheets/XML_External_Entity_Prevention_Cheat_Sheet.html#transformerfactory
- https://github.com/gematik/app-referencevalidator
- https://github.com/gematik/app-referencevalidator/releases/tag/2.5.1
- https://owasp.org/www-community/attacks/Server_Side_Request_Forgery
- https://owasp.org/www-project-top-ten/2017/A4_2017-XML_External_Entities_(XXE)
- https://owasp.org/www-project-top-ten/2017/A4_2017-XML_External_Entities_(XXE)#
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N- Schwäche (CWE)
CWE-611- Plattform
- Java / Kotlin (Maven)
- Paket
de.gematik.refv.commons:commons- Veröffentlicht
- 19.09.2024
- Aktualisiert
- 11.10.2026 12:21
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-68j8-fp38-p48q - CC BY 4.0
Schwachstellenhistorie: de.gematik.refv.commons:commons
Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
Dies ist die einzige bekannte Schwachstelle dieses Pakets.
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.