关于Apache Any23远程代码执行漏洞(CVE-2021-40146)的预警提示

发布者:jsut发布时间:2021-09-18浏览次数:1385

一、漏洞详情

Apache Everything To Triples (Any23)是一个库、Web服务和命令行工具,主要用于从各种Web文档中提取RDF格式的结构化数据。

Apache发布安全公告,修复了Apache Any23中的一个远程代码执行漏洞(CVE-2021-40146),该漏洞存在于Any23 YAMLExtractor.java中,远程攻击者可利用此漏洞在目标系统上执行任意代码。

同时,Any23StreamUtils.java文件中发现一个XML外部实体(XXE)注入漏洞(CVE-2021-38555),攻击者可以利用此漏洞干扰应用程序对XML的处理,实现查看应用服务器文件系统上的文件,并与应用程序本身可以访问的任何后端或外部系统进行交互。

建议受影响用户做好资产自查以及预防工作,以免遭受黑客攻击。

二、影响范围

Apache Any23版本 < 2.5

三、修复建议

目前上述漏洞已在Apache Any23 2.5版本中修复(已发布),建议受影响用户及时升级更新。

下载链接:http://any23.apache.org/download.html