Quartz XXE漏洞 CVE-2019-13990

0x01 概述

Quartz是一个功能丰富的开源作业调度库，可以集成到几乎任何Java应用程序中——从最小的独立应用程序到最大的电子商务系统。Quartz可以用于创建简单或复杂的计划，以执行数十个、数百个甚至数以万计的作业；这些作业的任务被定义为标准的Java组件，可以执行几乎任何你编程的任务。Quartz调度器包含许多企业级功能，例如对JTA事务和集群的支持。

笔者通过对数百个真实项目引入组件的分析选出了Quartz组件的常见漏洞进行分析。本次分析的是CVE-2019-13990。

该漏洞是由于XMLSchedulingDataProcessor.java的initDocumentParser()方法不禁止DTD，导致的XXE。

0x02 组件使用场景

Quartz适用于需要定时、周期性或基于条件触发执行任务的多种场景。无论是在数据管理、任务自动化还是提醒通知等方面，Quartz都可以发挥作用。它允许你有效地安排代码的执行，以适应特定时间、重复性需求和业务逻辑。无论你是在构建小型独立应用还是大型复杂系统，Quartz都是一个有力的工具，为你的任务和作业管理提供了强大的调度和计划功能。

0x03 漏洞信息

3.1 漏洞简介

漏洞名称：XXE漏洞

漏洞编号：CVE-2019-13990

漏洞类型：CWE-611 XML外部实体引用限制不当

CVSS评分：CVSS v3.1：9.