​

漏洞类型：SSRF

发现时间：2023-08-23

漏洞等级：中危

MPS 编号：MPS-2022-63578

CVE 编号：CVE-2022-44729

漏洞影响广度：极小

漏洞危害

OSCS 描述:

Apache XML Graphics Batik 是一个开源的、用于处理可缩放矢量图形(SVG)格式图像的工具库。

受影响版本中，由于 SVGAbstractTranscoder 类未对加载的外部资源进行过滤，当加载攻击者可控的恶意 SVG 文件时会默认触发加载外部资源，从而导致资源消耗或信息泄露。

参考链接：https://www.oscs1024.com/hd/MPS-2022-63578

Apache Pony Mail 描述:

默认阻止加载外部资源

参考链接：https://lists.apache.org/thread/hco2nw1typoorz33qzs0fcdx0ws6d6j2

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围：org.apache.xmlgraphics:batik-bridge [1.6.1, 1.17)

处置方式 1：更新

处置方法 1：升级 org.apache.xmlgraphics:batik-bridge 到 1.17 或更高版本

处置方式 2：缓解措施

处置方法 2：避免加载不受信任的 SVG 文件

处置方式 3：补丁

处置方法 3：官方已发布补丁：http://svn.apache.org/viewvc?view=revision&revision=1905049

影响范围：org.apache.xmlgraphics:batik-svgrasterizer [1.9, 1.17)

处置方式：更新

处置方法：升级 org.apache.xmlgraphics:batik-svgrasterizer 到 1.17 或更高版本

影响范围：org.apache.xmlgraphics:batik-transcoder [1.6.1, 1.17)

处置方式：更新

处置方法：升级 org.apache.xmlgraphics:batik-transcoder 到 1.17 或更高版本

参考链接：https://www.oscs1024.com/hd/MPS-2022-63578

Apache Pony Mail 平台影响范围和处置方案

影响范围：Batik 1.0 – 1.16

处置方式：缓解措施

处置方法：用户应升级到 Batik 1.17

参考链接：https://lists.apache.org/thread/hco2nw1typoorz33qzs0fcdx0ws6d6j2

排查方式

方式 1：使用漏洞检测 CLI 工具来排查

使用文档：https://www.murphysec.com/docs/faqs/integration/cli.html

方式 2：使用漏洞检测 IDEA 插件排查

使用文档：https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html

方式 3：接入 GitLab 进行漏洞检测排查

使用文档：https://www.murphysec.com/docs/faqs/integration/gitlab.html

更多排查方式：https://www.murphysec.com/docs/faqs/integration/

关于墨知

墨知是国内首个专注软件供应链安全领域的技术社区，社区致力于为国内数百万技术人员提供全方位的软件供应链安全专业知识内容，包括软件供应链安全技术、漏洞情报、开源组件安全、SBOM、软件成分分析（SCA）、开源许可证合规等前沿技术及最佳实践。

墨知主要内容分类：

1. 漏洞分析：漏洞_墨知 (oscs1024.com)
   

2. 投毒分析：投毒分析_墨知 (oscs1024.com)
   

3. 行业动态：行业动态_墨知 (oscs1024.com)
   

4. 行业研究：行业研究_墨知 (oscs1024.com)
   

5. 工具推荐：工具推荐_墨知 (oscs1024.com)
   

6. 最佳实践：最佳实践_墨知 (oscs1024.com)
   

7. 技术科普：技术科普_墨知 (oscs1024.com)
   

墨知通过促进知识共享、技术研究和合作交流，帮助组织和个人提高软件供应链的安全性，减少供应链攻击的风险，并保护软件生态系统的整体安全。

进入社区：https://zhi.oscs1024.com/

原文来自：https://zhi.oscs1024.com/5174.html

​