EXPLOIT PÚBLICODetectada 06 NOV · 17:11

CVE-2022-25235 Validación insuficiente de codificación en Expat (libexpat)

xmltok_impl.c en Expat (libexpat) anterior a 2.4.5 carece de ciertas validaciones de codificación, como comprobar si un carácter UTF-8 es válido en un contexto determinado.

9.8CRÍTICA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/115,0 % · percentil 92
Explotada activamenteNo confirmada
Exploit públicoSí, 1

Qué hacer

Verificá si usás el producto afectado.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Priorizá la corrección: hay código de explotación público.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

federiconbaez/cortex9-expat-utf8-name-validation-model Offline Python model of expat's UTF-8 name checks before/after the CVE-2022-25235 fix, with an independent RFC 3629 decoder. No XML parsing of untrusted input.06 NOV · 17:11

Calculadora CVSS

CVSS 3.1 · 9.8 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadAlta
DisponibilidadAlta

Descripción original

xmltok_impl.c in Expat (aka libexpat) before 2.4.5 lacks certain validation of encoding, such as checks for whether a UTF-8 character is valid in a certain context.

Referencias (12)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.