遠端主機上安裝的 batik 版本比 1.7-10.10 舊。因此，會受到 ALAS-2023-1695 公告中所提及的多個弱點影響。

  - Apache Batik 1.13 版容易受到伺服器端要求偽造的影響，這是因為 NodePickerPanel 的不當輸入驗證所致。透過使用特製的引數，攻擊者可惡意利用此弱點，造成基礎伺服器提出任意 GET 要求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者透過 jar 通訊協定載入 URL。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者擷取外部資源。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者使用 jar URL 存取檔案。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-40146)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者從 SVG 執行未受信任的 Java 程式碼。
    此問題會影響 1.16 之前的 Apache XML Graphics。建議更新至 1.16 版。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者透過 JavaScript 從未受信任的 SVG 執行 Java 程式碼。此問題會影響 1.16 之前的 Apache XML Graphics。建議使用者升級至 1.16 版。(CVE-2022-42890)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

偵測

Amazon Linux AMI：batik (ALAS-2023-1695)

high Nessus Plugin ID 172184

版本 1.0