Security Vulnerability - PlantUML Dogu (XML-Parser Expat - CVE-2022-23852)

Cloudogu EcoSystem Dogus
1

(English version below)

Liebe Community,

momentan existiert eine Sicherheitslücke in der XML-Parser-Bibliothek Expat (libexpat), die leider auch das PlantUML Dogu im Cloudogu EcoSystem und das PlantUML Plugin im SCM-Manager betrifft (CVE-2022-23852, CVSS 9.8 laut National Vulnerability Database, Risikoeinstufung kritisch, weitere Informationen dazu auf Heise). Die Sicherheitslücke ermöglicht es Angreifenden Schadcode einzuschleusen und auszuführen.

Damit Angreifer diese Lücke nicht ausnutzen können, empfehlen wir daher kurzfristig:

  • Deaktivierung des PlantUML Plugins im SCM Manager
  • Herunterfahren des PlantUML Dogus

Wir halten Euch an dieser Stelle auf dem Laufenden, auch sobald ein Fix zur Verfügung steht.

__

Dear community,

currently there is a security vulnerability in the XML Parser library Expat (libexpat), which unfortunately affects the PlantUML Dogu in the Cloudogu EcoSystem and the PlantUML plugin for the SCM-Manager (CVE-2022-23852, CVSS 9.8 according to National Vulnerability Database, severity critical, find more information here). The vulnerability allows attackers to inject and execute malicious code.

To prevent attackers from exploiting this vulnerability, we ask you to:

  • uninstall the PlantUML plugin in SCM-Manager
  • take down the PlantUML Dogu inside the Cloudogu EcoSystem

We will keep you updated here and let you know, as soon as there is a fix available.

4

(English version below)

Liebe Community,

aufgrund des Expat CVE wurden folgende Dogus aktualisiert:

  • Jenkins-Dogu
  • Nexus-Dogu
  • Postfix-Dogu
  • Confluence-Dogu
  • Jira-Dogu Redmine-Dogu
  • SCM-Manager-Dogu
  • PlantUML-Dogu
  • Ngnix-Dogu

Wir empfehlen die neuesten Versionen der Dogus zu nutzen, da diese einen Hotfix für den Expat CVE beinhalten.

Bei Rückfragen stehen wir Euch natürlich gerne zur Verfügung.

_

Dear Community,

the following Dogus have been updated due to the Expat CVE:

  • Jenkins-Dogu
  • Nexus-Dogu
  • Postfix-Dogu
  • Confluence-Dogu
  • Jira-Dogu Redmine-Dogu
  • SCM-Manager-Dogu
  • PlantUML-Dogu
  • Ngnix-Dogu

We recommend using the latest versions of these Dogus, as they contain a hotfix for the Expat CVE.

If you have any questions, please let us know!

1 Like