当前位置： 首页 > 服务与支持 > 产品升级公告 > 安全漏洞公告

服务与支持Support

Apache Batik信息泄露漏洞(CVE-2015-0250)

     发表日期：2015-03-26 11:26:00

Apache Batik信息泄露漏洞(CVE-2015-0250)
CVE-ID:CVE-2015-0250
发布日期：2015-03-21
更新日期：2015-03-25
受影响系统：
Apache Group Batik < 1.8
详细信息：
 
Batik是基于Java的应用工具包，可将SVG格式用于多种目的，如察看、主控或操纵。
 
 
 
Apache Batik 1.8之前版本，在将SVG转换为PNG及JPG类时存在XML外部实体漏洞，通过构造的SVG文件，远程攻击者可读取文件或造成拒绝服务。
 
 
来源：
Timo Schmid
参考信息：
http://seclists.org/fulldisclosure/2015/Mar/142
解决办法：
厂商补丁：
 
Apache Group
------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：
 
 
 
 
 
[1] http://xmlgraphics.apache.org/batik/
 
[2]
 
http://www.insinuator.net/2015/03/xxe-injection-in-apache-batik-library-cve-2015-0250/
 
[3] https://www.owasp.org/index.php/XML_External_Entity_%28XXE%29_Processing
 
[4] https://www.ernw.de/download/xxe_batik.tar.xz