CVE-2025-68280
Təsvir
Apache SIS-də XML Xarici Entitet İstinadının (XML External Entity Reference) düzgün məhdud edilməməsi zəifliyi aşkar edilmişdir. XML fayllarının elə yazılması mümkündür ki, onlar Apache SIS tərəfindən təhlil edildikdə, hücumçuya Apache SIS işlədən serverdəki lokal faylın məzmunu açıqlansın. Bu zəiflik aşağıdakı SIS xidmətlərinə təsir göstərir: * Defense Geospatial Information Working Group (DGIWG) tərəfindən müəyyən edilmiş GEO_METADATA teqinə malik GeoTIFF fayllarının oxunması. * XML formatında olan ISO 19115 metadata-sının təhlili. * GML formatında müəyyən edilmiş Koordinat İstinad Sistemlərinin (Coordinate Reference Systems) təhlili. * GPS Exchange Format (GPX) formatındakı faylların təhlili. Bu problem Apache SIS-in 0.4 versiyasından 1.5 versiyasına qədər (hər iki versiya daxil olmaqla) olan hissəsinə təsir edir. İstifadəçilərə problemi aradan qaldıran 1.6 versiyasına yeniləmək tövsiyə olunur. Bu müddət ərzində təhlükəsizlik zəifliyinin qarşısını almaq üçün Java-nı `javax.xml.accessExternalDTD` sistem xüsusiyyəti icazə verilmiş protokolların vergüllə ayrılmış siyahısına təyin etməklə başlatmaq olar. Məsələn: java -Djavax.xml.accessExternalDTD="" ...
Necə düzəltmək olar
- org.apache.sis.core:sis-metadata1.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache spatial_information_system | 0.4 ≤ v ≤ 1.5 | — |
| org.apache.sis.core:sis-metadataMaven | 0.4 ≤ v < 1.6 | 1.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.