現已提供適用於 Red Hat Enterprise Linux 5 和 6 的更新版 xalan-j2 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Xalan-Java 是 XSLT 處理器，用來將 XML 文件轉為 HTML、文字或其他 XML 文件類型。

據發現，Xalan-Java 的安全處理功能針對特定內容和功能並未定義足夠的限制。
遠端攻擊者若能提供可延伸樣式表語言轉換 (XSLT) 內容，並由使用 Xalan-Java 的應用程式處理，則可利用此瑕疵繞過安全處理功能的預定限制。依據 classpath 中可用的組件而定，這可在執行使用 Xalan-Java 的應用程式的應用程式伺服器環境中造成任意遠端程式碼執行。(CVE-2014-0107)

建議所有 xalan-j2 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。

據發現，Xalan-Java 的安全處理功能針對特定內容和功能並未定義足夠的限制。
遠端攻擊者若能提供可延伸樣式表語言轉換 (XSLT) 內容，並由使用 Xalan-Java 的應用程式處理，則可利用此瑕疵繞過安全處理功能的預定限制。依據 classpath 中可用的組件而定，這可在執行使用 Xalan-Java 的應用程式的應用程式伺服器環境中造成任意遠端程式碼執行。(CVE-2014-0107)

現已提供適用於 Red Hat Enterprise Linux 5 和 6 的更新版 Red Hat Jboss Enterprise Application Platform 6.2.2 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並提供給 Java 應用程式使用的平台。

據發現，Xalan-Java 的安全處理功能針對特定內容和功能並未定義足夠的限制。
遠端攻擊者若能提供可延伸樣式表語言轉換 (XSLT) 內容，並由使用 Xalan-Java 的應用程式處理，則可利用此瑕疵繞過安全處理功能的預定限制。依據 classpath 中可用的組件而定，這可在執行使用 Xalan-Java 的應用程式的應用程式伺服器環境中造成任意遠端程式碼執行。(CVE-2014-0107)

建議所有在 Red Hat Enterprise Linux 5 和 6 中使用 Red Hat JBoss Enterprise Application Platform 6.2.2 的使用者皆升級至這些更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

此更新可修正遠端程式碼執行安全性弱點 (CVE-2014-0107)。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

來自 Red Hat 安全性公告 2014:0348：

現已提供適用於 Red Hat Enterprise Linux 5 和 6 的更新版 xalan-j2 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Xalan-Java 是 XSLT 處理器，用來將 XML 文件轉為 HTML、文字或其他 XML 文件類型。

據發現，Xalan-Java 的安全處理功能針對特定內容和功能並未定義足夠的限制。
遠端攻擊者若能提供可延伸樣式表語言轉換 (XSLT) 內容，並由使用 Xalan-Java 的應用程式處理，則可利用此瑕疵繞過安全處理功能的預定限制。依據 classpath 中可用的組件而定，這可在執行使用 Xalan-Java 的應用程式的應用程式伺服器環境中造成任意遠端程式碼執行。(CVE-2014-0107)

建議所有 xalan-j2 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。

遠端主機受到 GLSA-201604-02 中所述的弱點影響 (Xalan-Java：任意程式碼執行)

當啟用 FEATURE_SECURE_PROCESSING 時，Apache Xalan-Java 中的 TransformerFactory 未正確限制對特定內容的存取。
 這也可透過繫結至 XSLT 1.0 系統內容功能的 Java 內容來惡意利用。
 影響：

遠端攻擊者可插入特製的 XSLT 內容，進而導致以處理程序的權限執行任意程式碼。
 因應措施：

目前尚無已知的因應措施。

根據其自我報告的版本，遠端主機上安裝的 Tenable SecurityCenter 應用程式版本為 5.7.1 或更新版本。因此，會受到多個弱點影響。請注意，Nessus 並未測試這些問題，也沒有獨立的修補程式，而是僅依據應用程式自我報告的版本號碼。

xalan-j2 已更新，可確保無法規避安全處理 (CVE-2014-0107)。

xalan-j2 已更新，可確保無法規避安全處理。(CVE-2014-0107)

Nicolas Gregoire 發現，啟用安全處理功能時，Xalan-Java 並未正確處理某些內容。攻擊者可能利用此問題，載入任意類別或存取外部資源。

遠端主機上安裝的 Oracle WebLogic Server 版本受到多個弱點影響：

  - Sites 子元件受到 Apache Xalan-Java 程式庫中的一個安全性繞過弱點影響，這是因為在 FEATURE_SECURE_PROCESSING 已啟用的情況下無法正確限制某些內容的存取所導致。遠端攻擊者可惡意利用此問題，繞過限制並載入任意類別或存取外部資源。
    (CVE-2014-0107)

  - WLS Security 元件受到一個遠端程式碼執行弱點影響，這是因為未驗證的 Java 物件對 Apache Commons Collections (ACC) 程式庫進行不安全的還原序列化呼叫所導致。遠端攻擊者可利用此弱點，透過傳至 TCP 連接埠 7001 的 T3 通訊協定流量中特別建構的序列化 Java 物件，執行任意命令。(CVE-2015-4852)

  - WLS-Console 子元件中存在一個不明弱點，其允許遠端攻擊者影響系統的完整性。目前尚無其他詳細資料可以提供。(CVE-2016-0464)

  - Coherence Container 子元件中存在一個不明弱點，其允許遠端攻擊者影響系統的機密性、完整性和可用性。目前尚無其他詳細資料可以提供。
    (CVE-2016-0572)

  - WLS Java Messaging Service 子元件中存在一個不明弱點，其允許遠端攻擊者影響系統的機密性、完整性和可用性。目前尚無其他詳細資料可以提供。(CVE-2016-0573)

  - WLS Core Components 子元件中存在多個不明弱點，其允許遠端攻擊者影響系統的機密性、完整性和可用性。目前尚無其他詳細資料可以提供。(CVE-2016-0574、CVE-2016-0577)

現已提供適用於 Red Hat Enterprise Linux 4、5 和 6 的更新版 JBoss Enterprise Application Platform 5.2.0 套件，可修正一個安全性問題和一個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

JBoss Enterprise Application Platform 是一個適用於 Java 應用程式的平台，其整合了 JBoss Application Server、JBoss Hibernate 和 JBoss Seam。

據發現，Xalan-Java 的安全處理功能針對特定內容和功能並未定義足夠的限制。
遠端攻擊者若能提供可延伸樣式表語言轉換 (XSLT) 內容，並由使用 Xalan-Java 的應用程式處理，則可利用此瑕疵繞過安全處理功能的預定限制。依據 classpath 中可用的組件而定，這可在執行使用 Xalan-Java 的應用程式的應用程式伺服器環境中造成任意遠端程式碼執行。(CVE-2014-0107)

此更新也可修正下列錯誤：

據發現，當使用 Transfomer 將 StreamSource 轉換為 DOMResult 時，轉換效能會隨著字元資料大小增加而降低。例如，轉換一個 50 MB XML BLOB 將會需要很長時間才完成。透過調整 SAX2DOM 和 DOMBuilder 類別以更有效地處理較大輸入，此問題已在此版本中解決。
(JBPAPP-10991)

建議所有在 Red Hat Enterprise Linux 4、5 和 6 上使用 JBoss Enterprise Application Platform 5.2.0 的使用者皆升級至這些更新版套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

遠端主機上安裝的 Oracle WebCenter Sites 版本缺少 2016 年 1 月重要修補程式更新 (CPU) 的安全性修補程式。因此會受到 Apache Xalan-Java 程式庫中的一個安全性繞過弱點影響，這是因為在 FEATURE_SECURE_PROCESSING 已啟用的情況下未正確限制對特定內容的存取所導致。遠端攻擊者可惡意利用此問題，繞過限制並載入任意類別或存取外部資源。

Nicolas Gregoire 發現適用於 XSLT 處理的 Java 程式庫「libxalan2-java」中有數個弱點。特製的 XSLT 程式可存取系統內容或載入任意類別，從而導致資訊洩漏，並且可能執行任意程式碼。

據發現，Xalan-Java 的安全處理功能針對特定內容和功能並未定義足夠的限制。
遠端攻擊者若能提供可延伸樣式表語言轉換 (XSLT) 內容，並由使用 Xalan-Java 的應用程式處理，則可利用此瑕疵繞過安全處理功能的預定限制。視 classpath 中可用的元件而定，這可導致在執行使用 Xalan-Java 的應用程式之應用程式伺服器內容中，執行任意遠端程式碼。(CVE-2014-0107)

ID	名稱	產品	系列	已發布	已更新	嚴重性
73295	RHEL 5 / 6：xalan-j2 (RHSA-2014:0348)	Nessus	Red Hat Local Security Checks	2014/4/2	2021/1/14	high
73653	Amazon Linux AMI：xalan-j2 (ALAS-2014-325)	Nessus	Amazon Linux Local Security Checks	2014/4/23	2018/4/18	high
73796	RHEL 5 / 6 : JBoss EAP (RHSA-2014:0453)	Nessus	Red Hat Local Security Checks	2014/5/1	2021/1/14	high
73356	Fedora 19：xalan-j2-2.7.1-22.fc19 (2014-4426)	Nessus	Fedora Local Security Checks	2014/4/7	2021/1/11	high
73294	Oracle Linux 5 / 6 : xalan-j2 (ELSA-2014-0348)	Nessus	Oracle Linux Local Security Checks	2014/4/2	2021/1/14	high
73359	Fedora 20：xalan-j2-2.7.1-22.fc20 (2014-4443)	Nessus	Fedora Local Security Checks	2014/4/7	2021/1/11	high
90340	GLSA-201604-02：Xalan-Java：任意程式碼執行	Nessus	Gentoo Local Security Checks	2016/4/5	2021/1/11	high
119149	Tenable SecurityCenter < 5.8.0 Multiple Vulnerabilities (TNS-2018-15)	Nessus	Misc.	2018/11/27	2020/10/9	critical
76336	openSUSE 安全性更新：xalan-j2 (openSUSE-SU-2014:0861-1)	Nessus	SuSE Local Security Checks	2014/7/2	2021/1/19	high
76373	SuSE 11.3 安全性更新：xalan-j2 (SAT 修補程式編號 9426)	Nessus	SuSE Local Security Checks	2014/7/5	2021/1/19	high
74137	Ubuntu 10.04 LTS / 12.04 LTS / 13.10：libxalan2-java 弱點 (USN-2218-1)	Nessus	Ubuntu Local Security Checks	2014/5/22	2021/1/19	high
88053	Oracle WebLogic Server 多個弱點 (2016 年 1 月 CPU)	Nessus	Misc.	2016/1/21	2024/4/23	high
74300	RHEL 4 / 5 / 6：JBoss EAP (RHSA-2014:0591)	Nessus	Red Hat Local Security Checks	2014/6/4	2021/1/14	high
88044	Oracle WebCenter Sites Apache Xalan-Java 程式庫安全性繞過 (2016 年 1 月 CPU)	Nessus	Windows	2016/1/21	2022/4/11	high
73216	Debian DSA-2886-1：libxalan2-java - 安全性更新	Nessus	Debian Local Security Checks	2014/3/27	2021/1/11	high
73296	Scientific Linux 安全性更新：SL5.x、SL6.x i386/x86_64 上的 xalan-j2	Nessus	Scientific Linux Local Security Checks	2014/4/2	2021/1/14	high
73309	CentOS 5 / 6：xalan-j2 (CESA-2014:0348)	Nessus	CentOS Local Security Checks	2014/4/3	2021/1/4	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

critical

high

high

high

high

high

high

high

high

high