Apache Batik信息泄露漏洞(CVE-2015-0250)

发布日期：2015-03-21
更新日期：2015-03-25

受影响系统：
Apache Group Batik < 1.8
描述：
CVE(CAN) ID: CVE-2015-0250

 Batik是基于Java的应用工具包，可将SVG格式用于多种目的，如察看、主控或操纵。

Apache Batik 1.8之前版本，在将SVG转换为PNG及JPG类时存在XML外部实体漏洞，通过构造的SVG文件，远程攻击者可读取文件或造成拒绝服务。

<*来源：Timo Schmid
 
  链接：http://seclists.org/fulldisclosure/2015/Mar/142
 *>

建议：
厂商补丁：

Apache Group
 ------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

[1] http://xmlgraphics.apache.org/batik/
 [2]
http://www.insinuator.net/2015/03/xxe-injection-in-apache-batik-library-cve-2015-0250/
 [3] https://www.owasp.org/index.php/XML_External_Entity_%28XXE%29_Processing
 [4] https://www.ernw.de/download/xxe_batik.tar.xz