CVE-2024-52800
Açıklama
veraPDF açık kaynaklı bir PDF/A doğrulama kütüphanesidir. CLI üzerinden özel schematron dosyaları kullanılarak politika kontrollerinin yürütülmesi, teorik olarak uzaktan kod çalıştırma (RCE) zafiyetine yol açabilecek bir XSL dönüşümünü tetikler. Bu durum, standart doğrulama ve politika kontrol işlevlerini, yani veraPDF'nin yaygın kullanım senaryolarını etkilemez. Çoğu veraPDF kullanıcısı, doğrudan XSL dönüşümleri yerine Schematron sözdizimine dayalı olan politika profillerine herhangi bir özel XSLT kodu eklemez. Bunu yapan kullanıcıların, yalnızca güvendikleri kaynaklardan gelen özel politika dosyalarını yüklemeleri önerilir. Bu sorun henüz yamalanmamıştır. Kullanıcıların, bir yama yayınlanana kadar XSLT kodları konusunda dikkatli olmaları tavsiye edilir.
Nasıl düzeltilir
- org.verapdf:core1.26.2 ya da sonraki bir sürüm
- org.verapdf:core-jakarta1.26.2 ya da sonraki bir sürüm
- org.verapdf:core-arlington1.26.2 ya da sonraki bir sürüm
- org.verapdf:verapdf-library1.26.2 ya da sonraki bir sürüm
- org.verapdf:verapdf-library-jakarta1.26.2 ya da sonraki bir sürüm
- org.verapdf:verapdf-library-arlington1.26.2 ya da sonraki bir sürüm
- org.verapdf:library1.26.2 ya da sonraki bir sürüm
- org.verapdf:library-jakarta1.26.2 ya da sonraki bir sürüm
- org.verapdf:library-arlington1.26.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.verapdf:coreMaven | v < 1.26.2 | 1.26.2 |
| org.verapdf:core-jakartaMaven | v < 1.26.2 | 1.26.2 |
| org.verapdf:core-arlingtonMaven | v < 1.26.2 | 1.26.2 |
| org.verapdf:verapdf-libraryMaven | v < 1.26.2 | 1.26.2 |
| org.verapdf:verapdf-library-jakartaMaven | v < 1.26.2 | 1.26.2 |
| org.verapdf:verapdf-library-arlingtonMaven | v < 1.26.2 | 1.26.2 |
| org.verapdf:libraryMaven | v < 1.26.2 | 1.26.2 |
| org.verapdf:library-jakartaMaven | v < 1.26.2 | 1.26.2 |
| org.verapdf:library-arlingtonMaven | v < 1.26.2 | 1.26.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.