AlmaLinux 9.6 [TuxCare] 安全更新：assertj-core / assertj-core-javadoc （ALMALINUX9.6：CLSA-2026：1788370561）

high Nessus 插件 ID 361533

语言：

简介

AlmaLinux 主机缺少一个或多个安全更新。

描述

AlmaLinux 9.6 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.6：CLSA-2026：1788370561公告中提及的漏洞的影响。

- AssertJ 为 Java 和 Java 虚拟机（JVM）提供 Fluent 测试断言。从版本 1.4.0 和旧版本 3.27.7开始，“org.assertj.core.util.xml.XmlStringPrettyFormatter”中存在 XML 外部实体（XXE）漏洞：“toXmlDocument（String）”方法使用默认设置初始化“DocumentBuilderFactory”，而不禁用 DTD 或外部实体。此格式化程序由“CharSequence”值的“isXmlEqualTo（CharSequence）”断言使用。只有当应用程序通过“org.assertj.core.api.AbstractCharSequenceAssert”中的“isXmlEqualTo（CharSequence）”或“org.assertj.core.util.xml.XmlStringPrettyFormatter”中的“xmlPrettyFormat（String）”使用不受信任的 XML 输入时，才容易受到攻击。如果这些方法的音调处理不受信任的 XML 输入，攻击者可以通过“file://”URI（例如“/etc/passwd”、应用程序配置文件）读取任意本地文件;通过 HTTP/HTTPS URI 执行服务器端请求伪造（SSRF），和/或通过 Billion Laughs 实体扩展攻击造成拒绝服务。“isXmlEqualTo（CharSequence）”已在版本 3.18.0 中弃用，取而代之的是 XMLUnit，并将在版本 4.0中删除。受影响版本的用户应按照首选项顺序将“isXmlEqualTo（CharSequence）”替换为 XMLUnit、升级到版本 3.27.7或避免使用具有不信任输入的“isXmlEqualTo（CharSequence）”或“XmlStringPrettyFormatter”。
“XmlStringPrettyFormatter”历来被视为“isXmlEqualTo（CharSequence）”的实用工具，而不是 AssertJ 用户的功能，因此它在版本 3.27.7 中已弃用并在版本 4.0中删除，并且没有任何替换。（CVE-2026-24400）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。