遠端主機受到 GLSA-202401-11 中所述的弱點影響 (Apache Batik：多個弱點)

  - 在 1.10 之前的 1.x 版 Apache Batik 中，還原序列化「AbstractDocument」的子類別時，類別會從 inputStream 取得字串作為類別名稱，然後使用它來呼叫類別的 no-arg 建構函式。修正為先檢查類別類型，然後再在還原序列化中呼叫 newInstance。(CVE-2018-8013)

  - Apache Batik 容易受到伺服器端要求偽造的影響，這是因為 xlink: href 屬性的不當輸入驗證所致。透過使用特製的引數，攻擊者可惡意利用此弱點，造成基礎伺服器提出任意 GET 要求。(CVE-2019-17566)

  - Apache Batik 1.13 版容易受到伺服器端要求偽造的影響，這是因為 NodePickerPanel 的不當輸入驗證所致。透過使用特製的引數，攻擊者可惡意利用此弱點，造成基礎伺服器提出任意 GET 要求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者透過 jar 通訊協定載入 URL。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者擷取外部資源。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者使用 jar URL 存取檔案。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-40146)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者從 SVG 執行未受信任的 Java 程式碼。
    此問題會影響 1.16 之前的 Apache XML Graphics。建議更新至 1.16 版。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者透過 JavaScript 從未受信任的 SVG 執行 Java 程式碼。此問題會影響 1.16 之前的 Apache XML Graphics。建議使用者升級至 1.16 版。(CVE-2022-42890)

  - Apache Software Foundation Apache XML Graphics Batik 中的伺服器端要求偽造 (SSRF) 弱點。此問題會影響 Apache XML Graphics Batik:1.16. 在 1.16 版中，惡意 SVG 可預設觸發載入外部資源，進而造成資源消耗，在某些情況下甚至會造成資訊洩漏。建議使用者升級至 1.17 或更高版本。(CVE-2022-44729)

  - Apache Software Foundation Apache XML Graphics Batik 中的伺服器端要求偽造 (SSRF) 弱點。此問題會影響 Apache XML Graphics Batik:1.16. 惡意 SVG 可探查使用者設定檔/資料，並將其作為參數直接傳送至 URL。(CVE-2022-44730)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 batik 版本比 1.8-0.12.svn1230816 舊。因此，會受到 ALAS2-2023-1966 公告中所提及的多個弱點影響。

  - Apache Batik 1.13 版容易受到伺服器端要求偽造的影響，這是因為 NodePickerPanel 的不當輸入驗證所致。透過使用特製的引數，攻擊者可惡意利用此弱點，造成基礎伺服器提出任意 GET 要求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者透過 jar 通訊協定載入 URL。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者擷取外部資源。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者使用 jar URL 存取檔案。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-40146)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者從 SVG 執行未受信任的 Java 程式碼。
    此問題會影響 1.16 之前的 Apache XML Graphics。建議更新至 1.16 版。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者透過 JavaScript 從未受信任的 SVG 執行 Java 程式碼。此問題會影響 1.16 之前的 Apache XML Graphics。建議使用者升級至 1.16 版。(CVE-2022-42890)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Debian 10 主機上安裝的一個套件受到 dla-3619 公告中提及的多個弱點影響。

  - Apache Batik 1.13 版容易受到伺服器端要求偽造的影響，這是因為 NodePickerPanel 的不當輸入驗證所致。透過使用特製的引數，攻擊者可惡意利用此弱點，造成基礎伺服器提出任意 GET 要求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者透過 jar 通訊協定載入 URL。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者擷取外部資源。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者使用 jar URL 存取檔案。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-40146)

  - Apache Software Foundation Apache XML Graphics Batik 中的伺服器端要求偽造 (SSRF) 弱點。此問題會影響 Apache XML Graphics Batik:1.16。在 1.16 版中，惡意 SVG 可預設觸發載入外部資源，進而造成資源消耗，在某些情況下甚至會造成資訊洩漏。建議使用者升級至 1.17 或更高版本。(CVE-2022-44729)

  - Apache Software Foundation Apache XML Graphics Batik 中的伺服器端要求偽造 (SSRF) 弱點。此問題會影響 Apache XML Graphics Batik:1.16。惡意 SVG 可探查使用者設定檔/資料，並將其作為參數直接傳送至 URL。(CVE-2022-44730)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 batik 版本比 1.7-10.10 舊。因此，會受到 ALAS-2023-1695 公告中所提及的多個弱點影響。

  - Apache Batik 1.13 版容易受到伺服器端要求偽造的影響，這是因為 NodePickerPanel 的不當輸入驗證所致。透過使用特製的引數，攻擊者可惡意利用此弱點，造成基礎伺服器提出任意 GET 要求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者透過 jar 通訊協定載入 URL。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者擷取外部資源。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者使用 jar URL 存取檔案。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-40146)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者從 SVG 執行未受信任的 Java 程式碼。
    此問題會影響 1.16 之前的 Apache XML Graphics。建議更新至 1.16 版。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者透過 JavaScript 從未受信任的 SVG 執行 Java 程式碼。此問題會影響 1.16 之前的 Apache XML Graphics。建議使用者升級至 1.16 版。(CVE-2022-42890)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端 The remote Ubuntu 16.04 ESM/18.04 LTS/20.04 LTS/22.04 LTS 主機上安裝的一個套件受到 USN-6117-1 公告中提及的多個弱點影響。

  - Apache Batik 容易受到伺服器端要求偽造的影響，這是因為 xlink: href 屬性的不當輸入驗證所致。透過使用特製的引數，攻擊者可惡意利用此弱點，造成基礎伺服器提出任意 GET 要求。(CVE-2019-17566)

  - Apache Batik 1.13 版容易受到伺服器端要求偽造的影響，這是因為 NodePickerPanel 的不當輸入驗證所致。透過使用特製的引數，攻擊者可惡意利用此弱點，造成基礎伺服器提出任意 GET 要求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者透過 jar 通訊協定載入 URL。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者擷取外部資源。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的伺服器端要求偽造 (SSRF) 弱點允許攻擊者使用 jar URL 存取檔案。此問題會影響 Apache XML Batik 1.14 版。(CVE-2022-40146)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者從 SVG 執行未受信任的 Java 程式碼。
    此問題會影響 1.16 之前的 Apache XML Graphics。建議更新至 1.16 版。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一個弱點，允許攻擊者透過 JavaScript 從未受信任的 SVG 執行 Java 程式碼。此問題會影響 1.16 之前的 Apache XML Graphics。建議使用者升級至 1.16 版。(CVE-2022-42890)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
187730	GLSA-202401-11：Apache Batik：多個弱點	Nessus	Gentoo Local Security Checks	2024/1/9	2024/1/9	critical
172170	Amazon Linux 2：batik (ALAS-2023-1966)	Nessus	Amazon Linux Local Security Checks	2023/3/7	2023/8/31	high
183091	Debian DLA-3619-1：batik - LTS 安全性更新	Nessus	Debian Local Security Checks	2023/10/14	2023/10/15	high
172184	Amazon Linux AMI：batik (ALAS-2023-1695)	Nessus	Amazon Linux Local Security Checks	2023/3/7	2023/8/31	high
176489	Ubuntu 16.04 ESM/18.04 LTS/20.04 LTS/22.04 LTS：Apache Batik 弱點 (USN-6117-1)	Nessus	Ubuntu Local Security Checks	2023/5/30	2023/10/16	high

偵測

搜尋 Plugin

critical

high

high

high

high