Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en WebKit en Apple Safari (CVE-2009-1699)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-611 Restricción incorrecta de referencia a entidad externa XML (XXE)
Fecha de publicación:
10/06/2009
Última modificación:
09/04/2025

Descripción

La implementación de la hoja de estilo XSL en WebKit en Apple Safari anterior a v4.0 no maneja adecuadamente las entidades externas XML, lo cual permite a atacantes remotos leer ficheros arbitrarios a través de un DTD elaborado, como lo demuestra un fichero: ///etc/passwd URL en una declaración de entidad, relacionado con un "ataque XXE".

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:apple:safari:*:*:*:*:*:*:*:* 4.0 (excluyendo)
cpe:2.3:o:apple:iphone_os:*:*:*:*:*:*:*:* 1.0.0 (incluyendo) 2.2.1 (incluyendo)
cpe:2.3:o:canonical:ubuntu_linux:8.10:*:*:*:*:*:*:*
cpe:2.3:o:canonical:ubuntu_linux:9.04:*:*:*:*:*:*:*
cpe:2.3:o:opensuse:opensuse:11.2:*:*:*:*:*:*:*
cpe:2.3:o:opensuse:opensuse:11.3:*:*:*:*:*:*:*


Referencias a soluciones, herramientas e información