漏洞信息来源:
http://seclists.org/fulldisclosure/2018/Jul/3(点击了解详情)
受影响版本:
JAVA SDK,WxPayAPI_JAVA_v3,建议使用了该版本的公司进行异常支付排查。
微信在JAVA版本的SDK中提供的回调回调功能,用来帮助商家接收异步付款结果,该接口接受XML格式的数据,攻击者可以构造恶意的回调数据(XML格式)来窃取商家服务器上的任何信息。一旦攻击者获得了关键支付的安全密钥(MD5密钥和商家信息,将可以直接实现0元支付购买任何商品)
漏洞详情:
利用细节:
修复建议:
用户可使用开发语言提供的禁用外部实体的方法。java禁用外部实体的代码如下:
404积极防御实验室第一时间进行响应。经确认,知道创宇云安全旗下云防御平台——创宇盾,无须升级安全策略即可有效拦截利用该漏洞的攻击,已接入的用户无需担心。