Apache开源项目 Xalan-J 整数截断可导致任意代码执行

XSLT（可扩展样式表语言转换）是一种标记语言，可将XML文档转换为其它格式如HTML。Xalan-J是XSLT处理器的Java版本实现。该项目在处理恶意的XSLT样式表时易受一个整数截断问题影响。该问题可用于损坏由内部XSLTC编译器生成的 Java类文件并执行任意Java字节码，从而导致攻击者在使用用于处理不可信XSLT样式表的软件中执行任意代码。

由于在OpenJDK中XML签名 验证过程中，可通过Xalan-J执行XSLT转换，因此该漏洞可影响大量基于Java的SAML实现。SAML是一种验证方法，可导致用户使用其中一组登录凭据访问多款web应用程序。

安全研究员注意到，使用属性org.jcp.xml.dsig.secureValidation 禁用XML签名的 XSLT支持，然而对于运行不具有 SecurityManager 的应用程序的默认值而言在JDK17之前都是错误的，“因此我认为很多实现可易受该漏洞影响”。

Wilhelm 在8月份发布的文章中指出，自己能够为该漏洞编写PoC利用，生成几乎完全受攻击者控制的有效（但无用）的类文件。他指出，“虽然我还未能成功执行自己的字节码，但我很有信心认为投入更长一点时间就能够实现，因此我现在报告该漏洞并在后续给出更加完整的PoC。”

之后，漏洞已在OpenJDK中修复。Wilhelm 指出并未在已不用的Apache版本中修复。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。