CVE-2020-1925

Apache Olingo, versões 4.0.0 a 4.7.0

A vulnerabilidade permite um potencial ataque de falsificação de solicitação do lado do servidor (SSRF). Isso ocorre porque a classe AsyncRequestWrapperImpl lê uma URL do cabeçalho Location e, em seguida, envia uma solicitação GET ou DELETE para essa URL. Um invasor poderia induzir um cliente a se conectar a um servidor malicioso, o que poderia fazer com que o cliente chamasse qualquer URL, incluindo recursos internos que não são diretamente acessíveis ao invasor.

Para as versões 4.0.0 a 4.7.0 do Apache Olingo, considere restringir o acesso à classe AsyncRequestWrapperImpl até que um patch esteja disponível ou implemente a validação das URLs lidas do cabeçalho Location para impedir solicitações a recursos internos ou não autorizados.