Debian DLA-3619-1：batik - LTS 安全性更新

high Nessus Plugin ID 183091

語系：

概要

遠端 Debian 主機上缺少一個或多個安全性更新。

說明

遠端 Debian 10 主機上安裝的一個套件受到 dla-3619 公告中提及的多個弱點影響。

- Apache Batik 1.13 版容易受到伺服器端要求偽造的影響，這是因為 NodePickerPanel 的不當輸入驗證所致。透過使用特製的引數，攻擊者可惡意利用此弱點，造成基礎伺服器提出任意 GET 要求。(CVE-2020-11987)

- Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者透過 jar 通訊協定載入 URL。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38398)

- Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者擷取外部資源。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38648)

- Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者使用 jar URL 存取檔案。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-40146)

- Apache Software Foundation Apache XML Graphics Batik 中的伺服器端要求偽造 (SSRF) 弱點。此問題會影響 Apache XML Graphics Batik:1.16。在 1.16 版中，惡意 SVG 可預設觸發載入外部資源，進而造成資源消耗，在某些情況下甚至會造成資訊洩漏。建議使用者升級至 1.17 或更高版本。(CVE-2022-44729)

- Apache Software Foundation Apache XML Graphics Batik 中的伺服器端要求偽造 (SSRF) 弱點。此問題會影響 Apache XML Graphics Batik:1.16。惡意 SVG 可探查使用者設定檔/資料，並將其作為參數直接傳送至 URL。(CVE-2022-44730)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。