发布日期：2015-03-21
更新日期：2015-03-25

受影响系统：

Apache Group Batik < 1.8

描述：

---

CVE(CAN) ID: CVE-2015-0250

Batik是基于Java的应用工具包，可将SVG格式用于多种目的，如察看、主控或操纵。

Apache Batik 1.8之前版本，在将SVG转换为PNG及JPG类时存在XML外部实体漏洞，通过构造的SVG文件，远程攻击者可读取文件或造成拒绝服务。

<*来源：Timo Schmid
  
  链接：http://seclists.org/fulldisclosure/2015/Mar/142
*>

建议：

---

厂商补丁：

Apache Group
------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：


[1] http://xmlgraphics.apache.org/batik/
[2]
http://www.insinuator.net/2015/03/xxe-injection-in-apache-batik-library-cve-2015-0250/
[3] https://www.owasp.org/index.php/XML_External_Entity_%28XXE%29_Processing
[4] https://www.ernw.de/download/xxe_batik.tar.xz

浏览次数：2009
严重程度：0（网友投票）