【缝隙公告】CVE-2020-13959 Apache Velocity XSS缝隙

颁布功夫 2021-01-18

0x00 缝隙概述

CVE  ID

CVE-2020-13959

时   间

2021-01-18

类   型

XSS

等   级

高危

远程利用

是

影响领域

Apache Velocity Tools

所有版本

 

0x01 缝隙详情

image.png

 

Apache Velocity是基于Java的模板引擎，，，开发人员可使用其在Model-View-Controller（MVC）架构中设计视图�！elocity Tools是一个由类组成的子项目，，，它进一步简化了Velocity在尺度和网络利用中的集成�！�

近日，，，Apache Velocity Tools中一个未公开的XSS缝隙（CVE-2020-13959）被披露，，，该缝隙会影响其所有版本�！Ｖ还芨梅煜渡形垂�，，，但其修复法式在2020年11月05日就已在GitHub上颁布�！�

该缝隙为反射型XSS，，，当接见无效的URL时，，，"template not found"的谬误页面将URL的资源蹊径部门按原样反映出来，，，而不合其进行转义�！�

攻击者能够利用此缝隙诱骗受害者单击这样的URL，，，从而将受害者疏导至被更改的网络垂钓页面泄露其登录会话信息，，，或者网络已登录用户的会话Cookie，，，并劫持其会话�！�

目前，，，多个当局网站（如* .nasa.gov 和* .gov.au）正在使用受影响的Apache Velocity Tools�！�

image.png

image.png

 

 

0x02 措置建议

目前，，，该缝隙的修复法式已经颁布�！�

下载链接：：：

https://github.com/apache/velocity-tools/pull/9

 

0x03 参考链接

http://velocity.apache.org/download.cgi#tools

https://www.bleepingcomputer.com/news/security/undisclosed-apache-velocity-xss-vulnerability-impacts-gov-sites/

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-13959

 

0x04 功夫线

2021-01-15  BleepingComputer披露缝隙

2021-01-18  VSRC颁布安全公告

 

0x05 附录

 

CVSS评分尺度官网：：：http://www.first.org/cvss/

image.png