Pivotal Spring Data Commons任意文件读取漏洞

admin

0
文章

0
评论

2023-12-02 05:16:12 Ali_nvd 来源：ZONE.CI 全球网 0 阅读模式

中危 Pivotal Spring Data Commons任意文件读取漏洞

CVE编号

CVE-2018-1259

利用情况

暂无

补丁情况

官方补丁

披露时间

2018-05-12

漏洞描述

Pivotal Spring Data Commons是美国Pivotal Software公司的一个为数据访问提供基于Spring模型的项目。 Pivotal Spring Data Commons 1.13.12之前的1.13版本和2.0.7之前的2.0版本中存在安全漏洞，该漏洞源于程序未能正确的限制XML外部实体的引用。当与XMLBeam 1.4.14及之前版本一起使用时，远程攻击者可通过提交特制的请求参数利用该漏洞访问系统上的任意文件。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：https://pivotal.io/security/cve-2018-1259

参考链接
https://access.redhat.com/errata/RHSA-2018:1809
https://access.redhat.com/errata/RHSA-2018:3768
https://pivotal.io/security/cve-2018-1259
https://www.oracle.com/security-alerts/cpujul2022.html

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	pivotal_software	spring_data_commons	*	From (including) 1.13	Up to (including) 1.13.11
	运行在以下环境
	应用	pivotal_software	spring_data_commons	*	From (including) 2.0	Up to (including) 2.0.6
	运行在以下环境
	应用	pivotal_software	spring_data_rest	*	From (excluding) 2.6	Up to (including) 2.6.11
	运行在以下环境
	应用	pivotal_software	spring_data_rest	*	From (including) 3.0	Up to (including) 3.0.6
	运行在以下环境
	应用	xmlbeam	xmlbeam	*		Up to (including) 1.4.14
	运行在以下环境
	系统	redhat_7	inkscape	*		Up to (excluding) 0:0.92.2-3.el7
	运行在以下环境
	系统	suse_12	ImageMagick	*		Up to (excluding) 6.8.8.1-71.82
	运行在以下环境
	系统	ubuntu_14.04.6_lts	imagemagick	*		Up to (excluding) 8:6.7.7.10-6ubuntu3.12
	运行在以下环境
	系统	ubuntu_16.04.7_lts	imagemagick	*		Up to (excluding) 8:6.8.9.9-7ubuntu5.12
	运行在以下环境
	系统	ubuntu_18.04.5_lts	imagemagick	*		Up to (excluding) 8:6.9.7.4+dfsg-16ubuntu6.3