Debian DLA-927-1：fop 安全更新

high Nessus 插件 ID 99738

语言：

简介

远程 Debian 主机缺少安全更新。

描述

在 2.2 版本之前的 Apache FOP 中，使用 FOP 的服务器文件系统上的文件可能会泄露给发送恶意格式 SVG 文件的任意用户。可显示的文件类型取决于运行可利用应用程序的用户环境。如果用户是 root，可能导致服务器的完全破坏，包括机密或敏感文件。XXE 还可以用于通过拒绝服务来攻击服务器的可用性，因为 xml 文档中的引用可以轻易触发放大攻击。对于 Debian 7“Wheezy”，这些问题已在版本 1:1.0.dfsg2-6+deb7u1 中修复。建议您升级 fop 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

解决方案

升级受影响的 fop、fop-doc 和 libfop-java 程序包。

另见

https://lists.debian.org/debian-lts-announce/2017/04/msg00046.html

https://packages.debian.org/source/wheezy/fop

插件详情

严重性: High

ID: 99738

文件名: debian_DLA-927.nasl

版本: 3.7

类型: local

代理: unix

系列: Debian Local Security Checks

发布时间: 2017/5/1

最近更新时间: 2021/1/11

支持的传感器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.2

CVSS v2

风险因素: High

基本分数: 7.9

时间分数: 5.8

矢量: CVSS2#AV:N/AC:M/Au:S/C:C/I:N/A:C

CVSS v3

风险因素: High

基本分数: 7.3

时间分数: 6.4

矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:H

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: p-cpe:/a:debian:debian_linux:fop, p-cpe:/a:debian:debian_linux:fop-doc, p-cpe:/a:debian:debian_linux:libfop-java, cpe:/o:debian:debian_linux:7.0

必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

易利用性: No known exploits are available

补丁发布日期: 2017/4/29

参考资料信息

CVE: CVE-2017-5661