AlmaLinux 9.2 [TuxCare] 安全性更新：assertj-core / assertj-core-javadoc （ALMALINUX9.2：CLSA-2026：1788881384）

high Nessus Plugin ID 352705

語言:

概要

AlmaLinux 主機缺少一或多個安全性更新。

說明

AlmaLinux 9.2 主機已安裝的套件會受到 TuxCare ALMALINUX9.2：CLSA-2026：1788881384 公告中提及的弱點影響。

- AssertJ 提供 Java 和 Java 虛擬機器（JVM）的 Fluent 測試判斷提示。從版本和之前的版本3.27.7開始1.4.0，「org.assertj.core.util.xml.XmlStringPrettyFormatter」中存在一個 XML 外部實體（XXE）弱點：「toXmlDocument（String）」方法使用預設設定初始化「DocumentBuilderFactory」，而不會停用 DTD 或外部實體。此格式化程式由 'CharSequence' 值的 'isXmlEqualTo（CharSequence）' 判斷提示使用。只有當應用程式使用不受信任的 XML 輸入和 'org.assertj.core.api.AbstractCharSequenceAssert' 中的 'isXmlEqualTo（CharSequence）' 或來自 'org.assertj.core.util.xml.XmlStringPrettyFormatter' 的 'xmlPrettyFormat（String）' 時，才容易受到攻擊。如果以這些方法的音調處理不受信任的 XML 輸入，則攻擊者可以透過「file://」URI （例如「/etc/passwd」、應用程式設定檔）讀取任意本機檔案;透過 HTTP/HTTPS URI 執行伺服器端要求偽造（SSRF），和/或透過 Billion Laughs 實體擴充攻擊造成拒絕服務。'isXmlEqualTo（CharSequence）' 已被取代，取而代之的是 XMLUnit 版本 3.18.0 ，並將在版本 4.0中移除。受影響版本的使用者應依優先順序：將 'isXmlEqualTo（CharSequence）' 替換為 XMLUnit、升級到版本 3.27.7，或避免將 'isXmlEqualTo（CharSequence）' 或 'XmlStringPrettyFormatter' 與不受信任的輸入一起使用。
「XmlStringPrettyFormatter」歷來被視為「isXmlEqualTo（CharSequence）」的實用程式，而不是 AssertJ 使用者的功能，因此它在版本 3.27.7 中已被棄用，並在版本 4.0中刪除，沒有替代品。（CVE-2026-24400）

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。