CVE-2022-36969

AVEVA Edge versões 2020 SP2 Patch 0 (4201.2111.1802.0000)

O problema está relacionado à restrição inadequada de referências a Entidades Externas XML (XXE) no método LoadImportedLibraries, permitindo que invasores remotos divulguem informações confidenciais. Isso pode ser feito criando um documento que especifique um URI, fazendo com que o analisador XML acesse o URI e incorpore seu conteúdo de volta ao documento XML. Um invasor pode aproveitar isso para divulgar informações no contexto do processo atual, mas é necessária a interação do usuário, como visitar uma página maliciosa ou abrir um arquivo malicioso.

Para o AVEVA Edge versão 2020 SP2 Patch 0 (4201.2111.1802.0000), considere desativar o método LoadImportedLibraries como uma solução temporária até que um patch esteja disponível. Restrinja o acesso às referências de Entidade Externa XML para minimizar o risco de exploração. Evite usar documentos criados especificamente para especificar URIs maliciosas nos pontos de extremidade da API afetados até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.