在 2.2 版本之前的 Apache FOP 中，使用 FOP 的服务器文件系统上的文件可能会泄露给发送恶意格式 SVG 文件的任意用户。可显示的文件类型取决于运行可利用应用程序的用户环境。如果用户是 root，可能导致服务器的完全破坏，包括机密或敏感文件。XXE 还可以用于通过拒绝服务来攻击服务器的可用性，因为 xml 文档中的引用可以轻易触发放大攻击。对于 Debian 7“Wheezy”，这些问题已在版本 1:1.0.dfsg2-6+deb7u1 中修复。建议您升级 fop 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

检测

Debian DLA-927-1：fop 安全更新

high Nessus 插件 ID 99738

版本 3.8