کشف آسیب‌پذیری در Apache Jackrabbit

Apache Jackrabbit یک پیاده‌سازی متن‌باز و سازگار با JCR است که با فراهم‌سازی ماژول‌هایی نظیر jackrabbit-core و jackrabbit-spi-commons، در زمینه‌های ذخیره‌سازی، مدیریت مجوزها و پردازش XML مورد استفاده قرار می‌گیرد و یکی از اجزای کلیدی در بسیاری از سامانه‌های مدیریت محتوا محسوب می‌شود.

اخیراً یک آسیب‌پذیری با شناسه‌ی CVE-2025-53689 و شدت 8.8 از نوع نهادهای خارجی (XXE) در این دو ماژول شناسایی شده است. طراحی نادرست پردازشگر XML به مهاجم اجازه می‌دهد داده‌هایی را از منابع داخلی سیستم سرقت کرده یا بر عملکرد آن تأثیر بگذارد.

 

جزئیات آسیب‌پذیری

در نسخه‌های آسیب‌پذیر از ماژول‌های jackrabbit-spi-commons و jackrabbit-core، از یک سازنده ناامن برای تجزیه اسناد XML استفاده شده است که فاقد پیکربندی مناسب جهت جلوگیری از بارگذاری نهادهای خارجی است. این نقص منجر به آسیب‌پذیری Blind XXE شده است.

در این نوع حمله، مهاجم می‌تواند با ارسال ورودی XML دلخواه، موفق به دسترسی غیرمجاز به منابع داخلی سرور یا افشای اطلاعات حساس شود، بدون آن‌که نتیجه حمله را مستقیماً از طریق پاسخ سرور دریافت کند. مهاجم ممکن است از طریق لاگ‌های سرور خود یا رفتار غیرعادی سامانه، متوجه موفقیت حمله شود.

بردار این آسیب‌پذیری به‌صورت زیر است:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

این بردار نشان می‌دهد مهاجم با دسترسی محدود می‌تواند از طریق شبکه، با استفاده از ورودی‌های XML و بدون نیاز به تعامل کاربر، یک پیام XML مخرب ارسال کرده و از ضعف موجود در پردازشگر XML بهره‌برداری کند. پیچیدگی پایین حمله و امکان تأثیرگذاری بالا بر محرمانگی، یکپارچگی و دسترسی‌پذیری سیستم، این آسیب‌پذیری را در طبقه‌بندی "شدید" قرار داده است.

 

نسخه‌های تحت تأثیر

نسخه‌های زیر از Apache Jackrabbit تحت تأثیر این آسیب‌پذیری قرار دارند:

تمام نسخه‌های jackrabbit-core و jackrabbit-spi-commons قبل از:

• نسخه‌ی 2.20.17 برای Java 8
• نسخه‌ی 2.22.1 برای Java 11
• نسخه‌ی 2.23.2 برای Java 11 (نسخه‌های بتا)

توجه: نسخه‌های قدیمی‌تر مانند 2.20.16 و قبل از آن دیگر پشتیبانی نمی‌شوند و باید به نسخه‌های جدید به‌روزرسانی گردند.

 

توصیه‌های امنیتی

1. به‌روزرسانی به نسخه‌های امن:
   بروزرسانی کتابخانه‌های آسیب‌پذیر به نسخه‌های غیرآسیب‌پذیر:

   • نسخه‌ی 2.20.17 برای سیستم‌های مبتنی بر Java 8

   • نسخه‌ی 2.22.1 یا 2.23.2 برای سیستم‌های مبتنی بر Java 11
     استفاده از نسخه‌های منسوخ یا بتا توصیه نمی‌شود.

2. محدودسازی دسترسی‌ها در سطح سیستم‌عامل:
   اطمینان حاصل شود که فایل‌های حساس مانند فایل‌های پیکربندی یا کلیدهای رمزنگاری برای سرویس‌دهنده XML قابل‌دسترس نباشند.

 

منابع خبر:

[1]https://jackrabbit.apache.org/security.html

[2]https://nvd.nist.gov/vuln/detail/CVE-2025-53689

[3]https://owasp.org/www-community/vulnerabilities/XML_External_Entity_(XXE)_Processing

[4]https://www.cve.org/CVERecord?id=CVE-2025-53689

[5]https://www.cvedetails.com/cve/CVE-2025-53689