Apache Batik信息泄露漏洞（CVE-2015-0250）

发布日期：2015-03-21
更新日期：2015-03-25受影响系统：
Apache Group Batik < 1.8
描述：
CVE（CAN） ID: CVE-2015-0250 Batik是基于Java的应用工具包，可将SVG格式用于多种目的，如察看、主控或操纵。Apache Batik 1.8之前版本，在将SVG转换为PNG及JPG类时存在XML外部实体漏洞，通过构造的SVG文件，远程攻击者可读取文件或造成拒绝服务。<*来源：Timo Schmid

链接：http://seclists.org/fulldisclosure/2015/Mar/142
*>建议：
厂商补丁：Apache Group
------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：
[1] http://xmlgraphics.apache.org/batik/
[2]
http://www.insinuator.net/2015/03/xxe-injection-in-apache-batik-library-cve-2015-0250/
[3] https://www.owasp.org/index.php/XML_External_Entity_%28XXE%29_Processing
[4] https://www.ernw.de/download/xxe_batik.tar.xz