Apache POI < 5.4.0 不當輸入驗證

medium Nessus Plugin ID 234190

語言:

概要

遠端主機上安裝的 Apache POI 版本受到不當輸入驗證弱點影響。

說明

遠端主機上安裝的 Apache POI 版本低於 5.4.0。因此，其會受到一個不當輸入驗證弱點影響。此問題會影響 OOXML 格式檔案的剖析，例如 xlsx、docx 和 pptx。這些檔案格式本質上是 zip 檔案，而且惡意使用者可能在 zip 中新增具有重複名稱 (包括路徑) 的 zip 項目。在這種情況下，讀取受影響檔案的產品可能會讀取不同的資料，這是因為系統會選擇其中一個同名 zip 項目而非另一個，但不同的產品可能會選擇不同的 zip 項目。此問題會影響 5.4.0 之前的 Apache POI poi-ooxml。版本 5.4.0 引入了一個檢查，如果在輸入檔案中發現具有重複檔案名稱的 zip 項目，該檢查會擲回例外狀況。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。