发布日期：2008-01-31
更新日期：2008-02-02

受影响系统：

Sun JDK <= 6 Update 4
Sun JRE <= 6 Update 4

不受影响系统：

Sun JDK 6 Update 4
Sun JRE 6 Update 4

描述：

---

BUGTRAQ  ID: 27553

Solaris系统的Java运行时环境（JRE）为JAVA应用程序提供可靠的运行环境。

JRE在处理外部实体引用时存在漏洞，攻击者可能利用此漏洞通过诱使用户处理恶意XML文档访问某些URL或导致拒绝服务。

默认下Java运行时环境（JRE）允许处理外部实体引用。如果要禁止处理外部实体引用，站点可以将external general entities属性设置为FALSE。JRE中的漏洞允许即使在将external general entities属性设置为FALSE的情况下仍允许处理外部实体引用，如果用户受骗打开恶意的XML文档的话就可能导致访问某些URL或拒绝服务。

<*来源：Chris Evans （chris@ferret.lmh.ox.ac.uk）
        Johannes Henkel
  
  链接：http://secunia.com/advisories/28746/
        http://sunsolve.sun.com/search/printfriendly.do?assetkey=1-66-231246-1
*>

建议：

---

厂商补丁：

Sun
---
Sun已经为此发布了一个安全公告（Sun-Alert-231246）以及相应补丁:
Sun-Alert-231246：A Vulnerability in the Java Runtime Environment XML Parsing Code May Allow URL Resources to be Accessed
链接：http://sunsolve.sun.com/search/printfriendly.do?assetkey=1-66-231246-1

补丁下载：
http://java.sun.com/javase/downloads/index.jsp

浏览次数：2506
严重程度：0（网友投票）