FreeBSD：raptor/raptor2 -- RDF/XML ファイル解釈における XXE（60f81af3-7690-11e1-9423-00235a5f2c9a）

medium Nessus プラグイン ID 58472

Language:

概要

リモート FreeBSD ホストに 1 つ以上のセキュリティ関連の更新が見つかりません。

説明

Timothy D. Morgan 氏による報告：

2011 年 12 月、VSR は、複数のオープンソースオフィス製品（OpenOffice、LibreOffice、KOffice、および AbiWord など）に、カスタムエンティティ宣言が含まれる XML ファイルの安全でない解釈に起因する脆弱性があることを特定しました。さらに分析を進めることで、この脆弱性が、librdf およびこれらのオフィス製品が交代で使用する libraptor ライブラリによる外部エンティティの受け入れによって引き起こされることが明らかになりました。

これらの脆弱性により、オフィスアプリケーションのコンテキストで XML 外部エンティティ（XXE）攻撃が可能になる可能性があります。その結果、潜在的に悪意のある ODF ドキュメントを開いたときに、ユーザープライバシーの盗難または喪失が発生します。librdf または libraptor に依存する他のアプリケーションの場合、信頼できないソースからの RDF/XML コンテンツを受け入れることで、潜在的に深刻な結果が生じる可能性があります。ただし、その影響はコンテキストによって非常に多様です。