Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Apache FOP 2.2 之前的版本中，位於使用 FOP 之伺服器檔案系統上的檔案，會洩漏給傳送帶有惡意格式之 SVG 檔案的任意使用者。暴露的檔案類型取決於執行可遭惡意利用之應用程式的使用者內容而定。如果使用者的身分是 root，可能會危及伺服器所有資料的安全，包括機密或敏感檔案。XXE 也可用來透過拒絕服務攻擊伺服器的可用性，因為 xml 文件內的參照可輕易觸發放大攻擊。 (CVE-2017-5661)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 2.2 版本之前的 Apache FOP 中，使用 FOP 的服务器文件系统上的文件可能会泄露给发送恶意格式 SVG 文件的任意用户。可显示的文件类型取决于运行可利用应用程序的用户环境。如果用户是 root，可能导致服务器的完全破坏，包括机密或敏感文件。XXE 也可被用于通过拒绝服务来攻击服务器的可用性，因为 xml 文档内的引用可以轻易触发放大攻击。 (CVE-2017-5661)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  -2.2より前のApache FOP では、FOPを使用するサーバーのファイルシステム上にあるファイルが、悪意を持って形成されたSVGファイルを送信する任意のユーザーに公開される可能性がありました。表示できるファイルタイプは、悪用可能なアプリケーションが実行されているユーザーコンテキストによって異なります。ユーザーが root である場合、機密ファイルや機密ファイルを含むサーバーが完全に侵害される可能性があります。xml ドキュメント内の参照が増幅攻撃を誘発する可能性があるため、サービス拒否によりサーバーの可用性を攻撃する目的で XXE が使用される可能性もあります。(CVE-2017-5661)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In Apache FOP before 2.2, files lying on the filesystem of the server which uses FOP can be revealed to     arbitrary users who send maliciously formed SVG files. The file types that can be shown depend on the user     context in which the exploitable application is running. If the user is root a full compromise of the     server - including confidential or sensitive files - would be possible. XXE can also be used to attack the     availability of the server via denial of service as the references within a xml document can trivially     trigger an amplification attack. (CVE-2017-5661)

Note that Nessus relies on the presence of the package as reported by the vendor.

It was discovered that an XML external entities vulnerability in the Apache FOP XML formatter may result in information disclosure.

The remote Ubuntu 14.04 LTS host has packages installed that are affected by a vulnerability as referenced in the USN-3281-1 advisory.

    Pierre Ernst discovered that Apache Fop incorrectly handled XML external entities. A remote attacker could     possibly use this issue to obtain sensitive files from the filesystem, or cause a denial of service.

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

According to its self-reported version, the Tenable SecurityCenter application installed on the remote host is less than 5.19.0 and is therefore affected by multiple vulnerabilities in the following components: 
  - Apache FOP
  - Underscore
  - Handlebars
  - PHP
  - sqlite

Note that successful exploitation of the most serious issues can result in arbitrary code execution.

In Apache FOP before 2.2, files lying on the filesystem of the server which uses FOP can be revealed to arbitrary users who send maliciously formed SVG files. The file types that can be shown depend on the user context in which the exploitable application is running. If the user is root a full compromise of the server - including confidential or sensitive files - would be possible. XXE can also be used to attack the availability of the server via denial of service as the references within a xml document can trivially trigger an amplification attack.

For Debian 7 'Wheezy', these problems have been fixed in version 1:1.0.dfsg2-6+deb7u1.

We recommend that you upgrade your fop packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

2.2以前のApache FOP では、FOPを使用するサーバーのファイルシステム上にあるファイルが、悪意を持って形成されたSVGファイルを送信する任意のユーザーに公開される可能性がありました。表示できるファイルタイプは、悪用可能なアプリケーションが実行されているユーザーコンテキストによって異なります。ユーザーがrootである場合、機密ファイルや機密ファイルを含むサーバーが完全に侵害される可能性があります。XXEは、xmlドキュメント内の参照が増幅攻撃のトリガーとなるため、サービス拒否を経由してサーバーの可用性を攻撃するために使用する可能性もあります。

Debian 7「Wheezy」では、これらの問題はバージョン1:1.0.dfsg2-6+deb7u1で修正されました。

お使いのfopパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Pierre Ernst氏は、Apache FopがXML外部エンティティを不適切に処理することを発見しました。リモートの攻撃者がこの問題を悪用して、ファイルシステムから秘密ファイルを取得したり、サービス拒否を引き起こしたりする可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Apache FOP XMLフォーマッターのXML外部エンティティの脆弱性により、情報漏洩の可能性があることが発見されました。

自己報告されたバージョンによると、リモートホストにインストールされているTenable SecurityCenterアプリケーションのバージョンは5.19.0未満です。したがって、以下のコンポーネントの複数の脆弱性の影響を受けます。 
  - Apache FOP
  - Underscore
  - Handlebars
  - PHP
  - sqlite

注：最も深刻な問題の悪用が成功すると、任意のコードが実行される可能性があります。

在 Apache FOP 2.2 之前的版本中，位於使用 FOP 之伺服器檔案系統上的檔案，會洩漏給傳送帶有惡意格式之 SVG 檔案的任意使用者。暴露的檔案類型取決於執行可遭惡意利用之應用程式的使用者內容而定。如果使用者的身分是 root，可能會危及伺服器所有資料的安全，包括機密或敏感檔案。XXE 亦可用來透過拒絕服務的方式，藉由 xml 文件中的參照屢屢觸發放大攻擊，藉此攻擊伺服器的可用性。針對 Debian 7「Wheezy」，這些問題已在 1:1.0.dfsg2-6+deb7u1 版本中修正。建議您升級 fop 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Pierre Ernst 發現 Apache Fop 未正確處理 XML 外部實體。遠端攻擊者可能會利用這些問題從檔案系統取得敏感資訊，或造成拒絕服務。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

發現 Apache FOP XML 格式器中有一個 XML 外部實體弱點，可能會造成資訊洩漏。

根據其自我報告的版本，遠端主機上安裝的 Tenable SecurityCenter 應用程式版本比 5.19.0 版舊。因此，會受到下列元件中的多個弱點影響： 
  - Apache FOP
  - Underscore
  - Handlebars
  - PHP
  - sqlite

請注意，如果成功惡意利用多數嚴重問題，將會導致任意程式碼執行。

已发现 Apache FOP XML 格式化程序中的一个 XML 外部实体漏洞可导致信息泄露。

Pierre Ernst 发现 Apache Fop 未能正确处理 XML 外部实体。远程攻击者可能利用此问题从文件系统获取敏感文件，或造成拒绝服务。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

根据其自我报告的版本，远程主机上安装的 Tenable SecurityCenter 应用程序版本低于 5.19.0，因此会受到以下组件中多个漏洞的影响： 
  - Apache FOP
  - Underscore
  - Handlebars
  - PHP
  - sqlite

请注意，如果成功利用最严重的问题则可能导致执行任意代码。

在 2.2 版本之前的 Apache FOP 中，使用 FOP 的服务器文件系统上的文件可能会泄露给发送恶意格式 SVG 文件的任意用户。可显示的文件类型取决于运行可利用应用程序的用户环境。如果用户是 root，可能导致服务器的完全破坏，包括机密或敏感文件。XXE 还可以用于通过拒绝服务来攻击服务器的可用性，因为 xml 文档中的引用可以轻易触发放大攻击。对于 Debian 7“Wheezy”，这些问题已在版本 1:1.0.dfsg2-6+deb7u1 中修复。建议您升级 fop 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
220847	Linux Distros 未修補弱點：CVE-2017-5661	Nessus	Misc.	2025/3/4	2025/9/3	high
220847	Linux Distros 未修补的漏洞: CVE-2017-5661	Nessus	Misc.	2025/3/4	2025/9/3	high
220847	Linux Distros のパッチ未適用の脆弱性: CVE-2017-5661	Nessus	Misc.	2025/3/4	2025/9/3	high
220847	Linux Distros Unpatched Vulnerability : CVE-2017-5661	Nessus	Misc.	2025/3/4	2025/9/3	high
100483	Debian DSA-3864-1 : fop - security update	Nessus	Debian Local Security Checks	2017/5/30	2021/1/11	high
100100	Ubuntu 14.04 LTS : Apache Fop vulnerability (USN-3281-1)	Nessus	Ubuntu Local Security Checks	2017/5/10	2024/8/27	high
152986	Tenable SecurityCenter < 5.19.0 Multiple Vulnerabilities (TNS-2021-14)	Nessus	Misc.	2021/9/3	2024/5/10	critical
99738	Debian DLA-927-1 : fop security update	Nessus	Debian Local Security Checks	2017/5/1	2021/1/11	high
99738	Debian DLA-927-1: fopセキュリティ更新	Nessus	Debian Local Security Checks	2017/5/1	2021/1/11	high
100100	Ubuntu 14.04 LTS : Apache Fop の脆弱性 (USN-3281-1)	Nessus	Ubuntu Local Security Checks	2017/5/10	2024/8/27	high
100483	Debian DSA-3864-1: fop - セキュリティ更新	Nessus	Debian Local Security Checks	2017/5/30	2021/1/11	high
152986	Tenable SecurityCenter < 5.19.0 の複数の脆弱性 (TNS-2021-14)	Nessus	Misc.	2021/9/3	2024/5/10	critical
99738	Debian DLA-927-1：fop 安全性更新	Nessus	Debian Local Security Checks	2017/5/1	2021/1/11	high
100100	Ubuntu 14.04 LTS：Apache Fop 弱點 (USN-3281-1)	Nessus	Ubuntu Local Security Checks	2017/5/10	2024/8/27	high
100483	Debian DSA-3864-1：fop - 安全性更新	Nessus	Debian Local Security Checks	2017/5/30	2021/1/11	high
152986	Tenable SecurityCenter < 5.19.0 多個弱點 (TNS-2021-14)	Nessus	Misc.	2021/9/3	2024/5/10	critical
100483	Debian DSA-3864-1：fop - 安全更新	Nessus	Debian Local Security Checks	2017/5/30	2021/1/11	high
100100	Ubuntu 14.04 LTS：Apache Fop 漏洞 (USN-3281-1)	Nessus	Ubuntu Local Security Checks	2017/5/10	2024/8/27	high
152986	Tenable SecurityCenter < 5.19.0 多个漏洞 (TNS-2021-14)	Nessus	Misc.	2021/9/3	2024/5/10	critical
99738	Debian DLA-927-1：fop 安全更新	Nessus	Debian Local Security Checks	2017/5/1	2021/1/11	high

检测

插件搜索

high

high

high

high

high

high

critical

high

high

high

high

critical

high

high

high

critical

high

high

critical

high