CERT Polska ostrzega przed podatnością XXE w Sparx Systems Enterprise Architect
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Aktualności
- Redakcja
- Paweł Rosół
- Źródło
- CERT Polska ()
CERT Polska opisał podatność CVE-2026-88794 w Enterprise Architect, która pozwala przez spreparowany plik XML odczytać dowolne pliki z systemu ofiary. Potwierdzono ją w wersji 17.1, a producent nie nawiązał skutecznego kontaktu.
CERT PolskaCERT Polska Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK. opublikował 15 października 2026 r. informację o podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2026-88794 w oprogramowaniu Enterprise Architect firmy Sparx Systems. Podatność to XML External Entity (XXE) injectionXML External Entity Podatność, w której parser XML przetwarza encje zewnętrzne ze spreparowanego pliku, co pozwala atakującemu odczytać dowolne pliki z systemu ofiary. w funkcjonalności XSLT Debugger. CERT Polska otrzymał zgłoszenie i koordynował proces ujawniania informacji. Autorem zgłoszenia jest Hlib Yavorskyi z zespołu TrendAI Zero Day Initiative.
Atak wymaga, żeby użytkownik wczytał spreparowany plik XML zawierający DOCTYPE z odwołaniem do zewnętrznego Document Type Definition (DTD). Parser przetwarza wtedy encje zewnętrzne, co umożliwia atakującemu odczytanie dowolnych plików z systemu plików ofiary. Typ podatności to według CERT Polska Improper restriction of XML external entity reference (CWE-611).
Podatność potwierdzono w wersji 17.1. Ze względu na brak skutecznego kontaktu z producentem nie sprawdzono innych wersji, więc CERT Polska zaznacza, że mogą być podatne również one. Jeśli w Twoim podmiocie ktoś używa Enterprise Architect, sprawdź, na jakich stacjach i serwerach jest zainstalowany i w jakiej wersji, oraz czy użytkownicy wczytują w nim pliki XML z nieznanych źródeł.
Pojęcia w tym tekście (3)
- CERT Polska
- Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
- Podatność
- Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- XML External Entity
- Podatność, w której parser XML przetwarza encje zewnętrzne ze spreparowanego pliku, co pozwala atakującemu odczytać dowolne pliki z systemu ofiary.