FreeBSD：raptor/raptor2 -- RDF/XML 檔案解譯中的 XXE (60f81af3-7690-11e1-9423-00235a5f2c9a)

medium Nessus Plugin ID 58472

語系：

概要

遠端 FreeBSD 主機缺少一個或多個安全性相關更新。

說明

Timothy D. Morgan 報告：

在 2011 年 12 月，VSR 在多個開放原始碼的 Office 產品 (包括 OpenOffice、LibreOffice、KOffice 和 AbiWord) 中發現一個弱點，這是因為使用自訂實體宣告解譯 XML 檔案不安全所導致。更深入的分析顯示，此弱點是由 libraptor 程式庫接受外部實體所造成，librdf 會先使用此程式庫，接著這些 Office 產品也會使用此程式庫。

在 Office 應用程式的內容中，這些弱點可能會允許 XML 外部實體 (XXE) 攻擊，進而在開啟可能惡意的 ODF 文件時，導致檔案遭竊或失去使用者隱私權。對於相依於 librdf 或 libraptor 的其他應用程式，接受來自未受信任來源的 RDF/XML 內容可能會導致嚴重的後果，但是根據內容而定，影響可能非常廣泛。