Vulnerabilidad en la funcionalidad de procesamiento de Java XML en Play (CVE-2014-3630)
Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-611
Restricción incorrecta de referencia a entidad externa XML (XXE)
Fecha de publicación:
29/12/2017
Última modificación:
20/04/2025
Descripción
Vulnerabilidad de XEE (XML External Entity) en la funcionalidad de procesamiento de Java XML en Play, en versiones anteriores a la 2.2.6 y versiones 2.3.x anteriores a la 2.3.5, podría permitir a atacantes remotos leer archivos arbitrarios, provocar una denegación de servicio (DoS) o causar otro tipo de impacto no especificado mediante datos XML manipulados.
Impacto
Puntuación base 3.x
9.80
Gravedad 3.x
CRÍTICA
Puntuación base 2.0
7.50
Gravedad 2.0
ALTA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:lightbend:play_framework:2.2.0:-:*:*:*:*:*:* | ||
| cpe:2.3:a:lightbend:play_framework:2.2.0:milestone1:*:*:*:*:*:* | ||
| cpe:2.3:a:lightbend:play_framework:2.2.0:milestone2:*:*:*:*:*:* | ||
| cpe:2.3:a:lightbend:play_framework:2.2.0:milestone3:*:*:*:*:*:* | ||
| cpe:2.3:a:lightbend:play_framework:2.2.1:-:*:*:*:*:*:* | ||
| cpe:2.3:a:lightbend:play_framework:2.2.2:-:*:*:*:*:*:* | ||
| cpe:2.3:a:lightbend:play_framework:2.3.0:-:*:*:*:*:*:* | ||
| cpe:2.3:a:lightbend:play_framework:2.3.0:rc1:*:*:*:*:*:* | ||
| cpe:2.3:a:lightbend:play_framework:2.3.0:rc2:*:*:*:*:*:* | ||
| cpe:2.3:a:lightbend:play_framework:2.3.1:*:*:*:*:*:*:* | ||
| cpe:2.3:a:lightbend:play_framework:2.3.2:-:*:*:*:*:*:* | ||
| cpe:2.3:a:lightbend:play_framework:2.3.2:rc1:*:*:*:*:*:* | ||
| cpe:2.3:a:lightbend:play_framework:2.3.2:rc2:*:*:*:*:*:* | ||
| cpe:2.3:a:lightbend:play_framework:2.3.3:*:*:*:*:*:*:* | ||
| cpe:2.3:a:lightbend:play_framework:2.3.4:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- https://groups.google.com/forum/#%21msg/play-framework/7uNX_ImTW08/AogWSjsTAyQJ
- https://groups.google.com/forum/#%21topic/play-framework/WdbFvemsFDQ
- https://infocon.org/cons/SyScan/SyScan%202015%20Singapore/SyScan%202015%20Singapore%20presentations/SyScan15%20David%20Jorm%20-%20Finding%20and%20exploiting%20novel%20flaws%20in%20Java%20software.pdf
- https://playframework.com/security/vulnerability/CVE-2014-3630-XmlExternalEntity
- https://groups.google.com/forum/#%21msg/play-framework/7uNX_ImTW08/AogWSjsTAyQJ
- https://groups.google.com/forum/#%21topic/play-framework/WdbFvemsFDQ
- https://infocon.org/cons/SyScan/SyScan%202015%20Singapore/SyScan%202015%20Singapore%20presentations/SyScan15%20David%20Jorm%20-%20Finding%20and%20exploiting%20novel%20flaws%20in%20Java%20software.pdf
- https://playframework.com/security/vulnerability/CVE-2014-3630-XmlExternalEntity



