libtaxii Server-Side Request Forgery vulnerability

緊急 9.8CVE-2020-27197 · GHSA-836c-xg97-8p4h · PYSEC-2020-59 · 17/10/2020 公開 · 17/06/2026 更新

要点

CVE-2020-27197 は libtaxii, opentaxii (eclecticiq), libtaxii (libtaxii project) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.3%（全脆弱性の 83.5% より高い）。
対処：1.1.118 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
libtaxii PyPI	`< 1.1.118`	`1.1.118`
opentaxii eclecticiq	`≤ 0.2.0`	修正版なし
libtaxii libtaxii_project	`≤ 1.1.117`	修正版なし

概要

"TAXII libtaxii through 1.1.117, as used in EclecticIQ OpenTAXII through 0.2.0 and other products, allows SSRF via an initial http:// substring to the parse method, even when the no_network setting is used for the XML parser. NOTE: the vendor points out that the parse method "wraps the lxml library" and that this may be an issue to "raise ... to the lxml group.""

NVD の説明

TAXII libtaxii through 1.1.117, as used in EclecticIQ OpenTAXII through 0.2.0 and other products, allows SSRF via an initial http:// substring to the parse method, even when the no_network setting is used for the XML parser. NOTE: the vendor points out that the parse method "wraps the lxml library" and that this may be an issue to "raise ... to the lxml group.