发布日期：2014-09-03
更新日期：2014-10-14

受影响系统：

Apache Group POI 3.10.x

描述：

---

BUGTRAQ  ID: 69647
CVE(CAN) ID: CVE-2014-3529

Apache POI是用Java编写的开源跨平台Java API，可以读写Microsoft Office格式档案。

Apache POI 3.10.1之前版本在OPC SAX设置中存在安全漏洞，允许远程攻击者通过包含XML外部实体声明及实体引用的OpenXML文件，利用此漏洞可读取任意文件。

<*来源：Stefan Kopf
        Mike Boufford
        Christian Schneider
  
  链接：http://secunia.com/advisories/60419
*>

建议：

---

厂商补丁：

Apache Group
------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://poi.apache.org/changes.html
http://www.apache.org/dist/poi/release/RELEASE-NOTES.txt
https://lucene.apache.org/solr/solrnews.html#18-august-2014-recommendation-to-update-apache-poi-in-apache-solr-480-481-and-490-installations

浏览次数：1883
严重程度：0（网友投票）