Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Ambari 2.7.9 (CVE-2025-23195)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-611 Restricción incorrecta de referencia a entidad externa XML (XXE)
Fecha de publicación:
21/01/2025
Última modificación:
09/06/2025

Descripción

Existe una vulnerabilidad de entidad externa XML (XXE) en el proyecto Ambari/Oozie, que permite a un atacante inyectar entidades XML maliciosas. Esta vulnerabilidad se produce debido a un análisis inseguro de la entrada XML mediante la clase `DocumentBuilderFactory` sin deshabilitar la resolución de entidades externas. Un atacante puede aprovechar esta vulnerabilidad para leer archivos arbitrarios en el servidor o realizar ataques Server-Side Request Forgery (SSRF). El problema se ha solucionado tanto en Ambari 2.7.9 como en la rama troncal.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:apache:ambari:*:*:*:*:*:*:*:* 2.7.9 (excluyendo)