微信支付SDK XXE误差清静通告

宣布时间 2018-07-03

误差编号和级别


无  高危


影响规模


受影响版本：


JAVA SDK，，，，，WxPayAPI_JAVA_v3


误差概述

微信在JAVA版本的SDK中提供callback回调功效，，，，，用来资助商家吸收异步付款效果，，，，，该接口接受XML名堂的数据，，，，，攻击者可以结构恶意的回调数据（XML名堂）来窃取商家效劳器上的任何信息。。。一旦攻击者获得了要害支付的清静密钥（md5-key和商家信息），，，，，将可以直接实现0元支付购置任何商品。。。当XML允许引用外部实体时，，，，，黑客可以通过结构恶意XML实体文件，，，，，实现远程读取恣意系统文件、远程执行系统下令等一系列危险操作，，，，，严重危害商家效劳器的系统清静。。。


XXE (XML External Entity Injection) 误差爆发在应用程序剖析 XML 输入时，，，，，没有榨取外部实体的加载。。。是一种针对使用XML交互的Web应用程序的攻击要领。。。


现在，，，，，微信官方尚未对SDK举行修复，，，，，但误差使用信息以及攻击方法已被果真，，，，，影响规模重大（已经披露出的有陌陌、vivo确认保存该误差），，，，，建议用到微信支付JAVA SDK的企业连忙开展自查并关注微信官方清静通告。。。


2018年7月2号，，，，，该误差在外洋误差披露网站首次宣布：


凯发·k8(中国游)官方网站


外地验证截图：


凯发·k8(中国游)官方网站


修复建议


期待微信官方升级计划。。。


用户可使用开发语言提供的禁用外部实体的要领。。。java禁用外部实体的代码如下：


DocumentBuilderFactory dbf =DocumentBuilderFactory.newInstance();
dbf.setExpandEntityReferences(false);


参考链接

http://seclists.org/fulldisclosure/2018/Jul/3。。。