Infinite Loop in Apache Xerces Java

中 6.5CVE-2022-23437 · GHSA-h65f-jvqw-m9fj · 24/01/2022 公開 · 08/10/2026 更新

要点

CVE-2022-23437 は xerces:xercesImpl, xerces-j (apache), agile engineering data management (oracle) に影響する深刻度「中」 (CVSS 6.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：11.6%（全脆弱性の 96.0% より高い）。
対処：2.12.2, 9.0, 8.1.2.0, 13.9.4.2.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
xerces:xercesImpl Maven	`< 2.12.2`	`2.12.2`
xerces-j apache	`≤ 2.12.1`	修正版なし
agile engineering data management oracle	`= 6.2.1.0`	修正版なし
agile product lifecycle management oracle	`= 9.3.6`	修正版なし
banking deposits and lines of credit servicing oracle	`= 2.7`	修正版なし
banking party management oracle	`= 2.7.0`	修正版なし
communications asap oracle	`= 7.3`	修正版なし
communications element manager oracle	`< 9.0`	`9.0`
communications session report manager oracle	`< 9.0`	`9.0`
communications session route manager oracle	`< 9.0`	`9.0`
financial services analytical applications infrastructure oracle	`≥ 8.0.6.0.0, ≤ 8.0.9.0≥ 8.1.0.0, < 8.1.2.0`	`8.1.2.0`
financial services behavior detection platform oracle	`= 8.1.1.0= 8.1.1.1= 8.1.2.0≥ 8.0.6.0.0, ≤ 8.0.8.0`	修正版なし
financial services crime and compliance management studio oracle	`= 8.0.8.2.0= 8.0.8.3.0`	修正版なし
financial services enterprise case management oracle	`= 8.0.7.1= 8.0.7.2.0= 8.0.8.0= 8.0.8.1= 8.1.1.0= 8.1.1.1`	修正版なし
flexcube universal banking oracle	`= 12.4.0`	修正版なし
global lifecycle management nextgen oui framework oracle	`= 13.9.4.2.2< 13.9.4.2.2`	`13.9.4.2.2`
global lifecycle management opatch oracle	`< 12.2.0.1.30`	`12.2.0.1.30`
health sciences information manager oracle	`= 3.0.0.1≥ 3.0.1, ≤ 3.0.5`	修正版なし
ilearning oracle	`= 6.2= 6.3`	修正版なし
peoplesoft enterprise peopletools oracle	`= 8.58= 8.59`	修正版なし
primavera gateway oracle	`≥ 17.7, ≤ 17.12.11≥ 18.8.0, ≤ 18.8.14≥ 19.12.0, ≤ 19.12.13≥ 20.12.0, ≤ 20.12.8`	修正版なし
product lifecycle analytics oracle	`= 3.6.1`	修正版なし
retail bulk data integration oracle	`= 16.0.3.0`	修正版なし
retail extract transform and load oracle	`= 13.2.8`	修正版なし
retail financial integration oracle	`= 14.1.3.2= 15.0.3.1= 16.0.3= 19.0.1`	修正版なし
retail integration bus oracle	`= 14.1.3.2= 15.0.3.1= 16.0.3= 19.0.1`	修正版なし
retail merchandising system oracle	`= 16.0.3= 19.0.1`	修正版なし
retail service backbone oracle	`= 14.1.3.2= 15.0.3.1= 16.0.3= 19.0.1`	修正版なし
weblogic server oracle	`= 12.2.1.3.0= 12.2.1.4.0= 14.1.1.0.0`	修正版なし

概要

There's a vulnerability within the Apache Xerces Java (XercesJ) XML parser when handling specially crafted XML document payloads. This causes, the XercesJ XML parser to wait in an infinite loop, which may sometimes consume system resources for prolonged duration. This vulnerability is present within XercesJ version 2.12.1 and the previous versions.

NVD の説明

参考情報

nvd.nist.gov/vuln/detail/CVE-2022-23437 · ADVISORY
jboss/xerces · PACKAGE
lists.apache.org/thread/6pjwm10bb69kq955fzr1n0nflnjd27dl · WEB
security.netapp.com/advisory/ntap-20221028-0005 · WEB
oracle.com/security-alerts/cpuapr2022.html · WEB
oracle.com/security-alerts/cpujul2022.html · WEB
openwall.com/lists/oss-security/2022/01/24/3 · WEB
security.netapp.com/advisory/ntap-20221028-0005 · Third Party Advisory

xerces:xercesImpl のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン