CVE-2022-23437

Infinite loop within Apache XercesJ xml parser

CVSS Skor

6.5

EPSS İhtimal

%11.6

Risk Skoru

0.8

Yayın

4 yıl önce

Overview (Genel Bakış)Public Exploits (0)Newsroom (Haberler)Vulnerability Timeline

Resmî yama doğrulandı

Etkilenen ürün ve sürüm için yayımlanan güvenlik güncellemesini uygulayın.

Envanterimdeki Etkisi

Yalnızca hesabınıza eklediğiniz kişisel ürünler değerlendirilir; kurumsal envanter burada görünmez.

Oturum kontrol ediliyor…

Zafiyet Açıklaması

DayBreach CVE AI Araştırması

CVE-2022-23437 için toplanan üretici, dağıtım, yama ve güvenlik kaynağı kayıtlarını karşılaştırıp kanıt bağlantılı bir açıklama hazırlayalım.

There's a vulnerability within the Apache Xerces Java (XercesJ) XML parser when handling specially crafted XML document payloads. This causes, the XercesJ XML parser to wait in an infinite loop, which may sometimes consume system resources for prolonged duration. This vulnerability is present within XercesJ version 2.12.1 and the previous versions.

IMPACT — Etkilenen Ürünler ve Yazılımlar

Affected Products

The following products are affected by CVE-2022-23437 vulnerability. Even if our threat engine is aware of the exact versions of the products that are affected, the information is represented below.

ID	VENDOR	PRODUCT	ACTION
1	Apache Software Foundation	Apache Xerces	İncele
2	apache	xerces-j	İncele
3	oracle	agile engineering data management	İncele
4	oracle	agile product lifecycle management	İncele
5	oracle	banking deposits and lines of credit servicing	İncele
6	oracle	banking party management	İncele
7	oracle	communications asap	İncele
8	oracle	communications element manager	İncele
9	oracle	communications session report manager	İncele
10	oracle	communications session route manager	İncele
11	oracle	financial services analytical applications infrastructure	İncele
12	oracle	financial services analytical applications infrastructure	İncele
13	oracle	financial services behavior detection platform	İncele
14	oracle	financial services behavior detection platform	İncele
15	oracle	financial services behavior detection platform	İncele
16	oracle	financial services behavior detection platform	İncele
17	oracle	financial services crime and compliance management studio	İncele
18	oracle	financial services crime and compliance management studio	İncele
19	oracle	financial services enterprise case management	İncele
20	oracle	financial services enterprise case management	İncele
21	oracle	financial services enterprise case management	İncele
22	oracle	financial services enterprise case management	İncele
23	oracle	financial services enterprise case management	İncele
24	oracle	financial services enterprise case management	İncele
25	oracle	flexcube universal banking	İncele
26	oracle	global lifecycle management nextgen oui framework	İncele
27	oracle	global lifecycle management nextgen oui framework	İncele
28	oracle	global lifecycle management opatch	İncele
29	oracle	health sciences information manager	İncele
30	oracle	health sciences information manager	İncele
31	oracle	ilearning	İncele
32	oracle	ilearning	İncele
33	oracle	peoplesoft enterprise peopletools	İncele
34	oracle	peoplesoft enterprise peopletools	İncele
35	oracle	primavera gateway	İncele
36	oracle	primavera gateway	İncele
37	oracle	primavera gateway	İncele
38	oracle	primavera gateway	İncele
39	oracle	product lifecycle analytics	İncele
40	oracle	retail bulk data integration	İncele
41	oracle	retail extract transform and load	İncele
42	oracle	retail financial integration	İncele
43	oracle	retail financial integration	İncele
44	oracle	retail financial integration	İncele
45	oracle	retail financial integration	İncele
46	oracle	retail integration bus	İncele
47	oracle	retail integration bus	İncele
48	oracle	retail integration bus	İncele
49	oracle	retail integration bus	İncele
50	oracle	retail merchandising system	İncele
51	oracle	retail merchandising system	İncele
52	oracle	retail service backbone	İncele
53	oracle	retail service backbone	İncele
54	oracle	retail service backbone	İncele
55	oracle	retail service backbone	İncele
56	oracle	weblogic server	İncele
57	oracle	weblogic server	İncele
58	oracle	weblogic server	İncele
59	netapp	active iq unified manager	İncele

Total Affected Vendor: 4|Products: 59

RED HAT CSAF/VEX — Ürün Etki Kontrolü

Red Hat bu CVE için henüz bir CSAF/VEX etki kaydı yayımlamamış. Bu durum “etkilenmiyor” anlamına gelmez.

SCORING — CVSS Çoklu Kaynak Skoru

CVSS Scores

The Common Vulnerability Scoring System is a standardized framework for assessing the severity of vulnerabilities in software and systems. We collect and display CVSS scores from various sources for each CVE.

SCORE	VERSION	SEVERITY	VECTOR	SOURCE
7.1	CVSS V2	—	AV:N/AC:M/Au:N/C:N/I:N/A:C	NVD
6.5	CVSS V31	MEDIUM	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H	NVD

Yama ve İyileştirme Rehberi (Solution)

Solution & Remediation Advisory

Yama doğrulandı

2 doğrulanmış yama veya düzeltilmiş sürüm kanıtı bulundu.

nvd

NVD tarafından Patch olarak etiketlenmiş referans

Kaynağı aç

nvd

NVD tarafından Patch olarak etiketlenmiş referans

Kaynağı aç

Etkilenen ürün ve sürümü yukarıdaki kaynak kanıtlarıyla doğrulayın.

İnternete açık servislerde erişimi kısıtlayın ve ağ segmentasyonu uygulayın.

Kanıtta belirtilen resmî güncellemeyi yalnızca eşleşen ürün ve sürüme uygulayın.

Sunucu günlüklerini ve ağ uçlarını anormal çalıştırma belirtileri için izleyin.

Public exploit ve aktif sömürü durumu

Doğrulanmış exploit istihbaratı

Bu CVE için henüz doğrulanmış public PoC, exploit repository’si veya Metasploit modülü bulunamadı.

Zafiyet Dağılımı ve Saldırı Kalıpları (CWE & CAPEC)

CWE - Common Weakness Enumeration

While CVE identifies specific instances of vulnerabilities, CWE categorizes the common flaws or weaknesses that can lead to vulnerabilities. CVE-2022-23437 is associated with the following CWEs:

CWE-835: Common Weakness Enumeration Entry CWE-835

Common Attack Pattern Enumeration and Classification (CAPEC)

Common Attack Pattern Enumeration and Classification (CAPEC) stores attack patterns, which are descriptions of the common attributes and approaches employed by adversaries to exploit the CVE-2022-23437 weaknesses.

CAPEC-66: SQL Injection CAPEC-126: Path Traversal CAPEC-28: OS Command Injection

Saldırı Vektörü ve Erişilebilirlik Karakteristiği

ErişimAğ üzerinden

YetkiGerekmiyor

KullanıcıGerekiyor

Resmi Kaynaklar ve Danışma Bültenleri

https://lists.apache.org/thread/6pjwm10bb69kq955fzr1n0nflnjd27dlvendor-advisory [oss-security] 20220124 CVE-2022-23437: Infinite loop within Apache XercesJ xml parservendor-advisory https://www.oracle.com/security-alerts/cpuapr2022.htmlvendor-advisory https://www.oracle.com/security-alerts/cpujul2022.htmlvendor-advisory https://security.netapp.com/advisory/ntap-20221028-0005/vendor-advisory

CVSS Vektör Radar Grafiği

6.5 / 10

Vulnerability Scoring Details

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

Attack VectorNetwork (Ağ)

Attack ComplexityLow (Düşük)

Privileges RequiredNone (Gerekmiyor)

User Interaction—

Confidentiality (Gizlilik)Low (Düşük)

Integrity (Bütünlük)None (Yok)

Availability (Erişilebilirlik)High (Yüksek)

Yama doğrulandı

2 doğrulanmış yama veya düzeltilmiş sürüm kanıtı bulundu.

Üreticiyi takip et

Apache Software Foundation

apache

oracle

netapp

Zafiyet Türü (CWE & CAPEC)

CWE-835

İlgili Benzer Açıklar

10.0

CVE-2021-44228 Aktif sömürülüyorImproper input validation in Apache Log4j

Üreticisiemens Ürün6bk1602-0aa12-0tp0 firmware+16 etkilenen

Yama doğrulandı Public Exploits:22EPSS %1004 yıl önce

9.8

CVE-2017-5638 Aktif sömürülüyorstruts2: RCE when performing file upload based on Jakarta Multipart parser

Üreticiapache Ürünstruts

Geçici çözüm Public Exploits:10EPSS %1009 yıl önce

9.8

CVE-2018-11776 Aktif sömürülüyorstruts2: Using specific results and namespaces can result in a remote code execution

Üreticiapache Ürünstruts

Geçici çözüm Public Exploits:14EPSS %1008 yıl önce

9.8

CVE-2023-46604 Aktif sömürülüyoractivemq-openwire: OpenWire Module: Unbounded deserialization causes ActiveMQ to be vulnerable to a remote code execution (RCE) attack

ÜreticiRed Hat Ürünred_hat_jboss_fuse_service_works_6:activemq-openwire+8 etkilenen

Kısmi yama Public Exploits:9EPSS %1003 yıl önce

9.8

CVE-2025-61882 Aktif sömürülüyorImproper authentication in Oracle Corporation Oracle Concurrent Processing

ÜreticiOracle Corporation ÜrünOracle Concurrent Processing+3 etkilenen

Geçici çözüm Public Exploits:10EPSS %1001 yıl önce

9.8

CVE-2020-1938 Aktif sömürülüyorVulnerability in Apache Tomcat

Üreticiapache Ürüngeode+16 etkilenen

Yama doğrulandı Public Exploits:12EPSS %996 yıl önce

Bu açığı API ile alın

Etkilenen ürünler, sürüm aralıkları, istismar durumu ve yama bilgisi tek istekte; ücretsiz anahtarla.

Ücretsiz anahtar al Belgeler

curl -H "x-api-key: $DAYBREACH_API_KEY" \
  "https://api.daybreach.dev/api/v1/intel/cves/CVE-2022-23437"