【漏洞通告】Apache Any23 遠程代碼執行漏洞（CVE-2021-40146）
發布時間 2021-09-130x00 漏洞概述
CVE ID | CVE-2021-40146 | 時 間 | 2021-09-11 |
類 型 | RCE | 等 級 | 高危 |
遠程利用 | 是 | 影響范圍 | Any23 < 2.5 |
攻擊復雜度 | 可用性 | ||
用戶交互 | 所需權限 | ||
PoC/EXP | 在野利用 |
0x01 漏洞詳情
Apache Everything To Triples (Any23) 是一個庫、Web 服務和命令行工具，主要用于從各種 Web 文檔中提取 RDF 格式的結構化數據。
2021年9月11日，Apache發布安全公告，修復了Apache Any23中的一個遠程代碼執行漏洞（CVE-2021-40146），該漏洞存在于Any23 YAMLExtractor.java中，遠程攻擊者可利用此漏洞在目標系統上執行任意代碼。
此外，在Any23的StreamUtils.java文件中發現一個XML外部實體（XXE）注入漏洞（CVE-2021-38555），攻擊者可以利用此漏洞干擾應用程序對XML的處理，實現查看應用服務器文件系統上的文件，并與應用程序本身可以訪問的任何后端或外部系統進行交互。
影響范圍
Apache Any23版本 < 2.5
0x02 處置建議
目前上述漏洞已在Apache Any23 2.5版本中修復（已發布），建議受影響用戶及時升級更新。
下載鏈接：
http://any23.apache.org/download.html
0x03 參考鏈接
http://mail-archives.apache.org/mod_mbox/www-announce/202109.mbox/%3Cpony-b7497055821405926d63668ab1112e0f108e2346-24b556bb9c8200804abff20daacf3205f453d88d@announce.apache.org%3E
http://mail-archives.apache.org/mod_mbox/www-announce/202109.mbox/%3Cpony-b7497055821405926d63668ab1112e0f108e2346-fc7885638697ea0fec1186b16e985c55e5d49a83@announce.apache.org%3E
0x04 更新版本
版本 | 日期 | 修改內容 |
V1.0 | 2021-09-13 | 首次發布 |
0x05 文檔附錄
CNVD：www.cnvd.org.cn
CNNVD：www.cnnvd.org.cn
CVE：cve.mitre.org
NVD：nvd.nist.gov
CVSS：www.first.org
0x06 關于我們
關注以下公眾號，獲取更多資訊：
京公網安備11010802024551號