Adobe ha sido notificado de una vulnerabilidad SSRF (CVE-2015-5255) en BlazeDS. Para corregir la vulnerabilidad de forma retrospectiva en las distribuciones BlazeDS integradas en LiveCycle Data Services (LCDS), Adobe ha lanzado un parche que incluye correcciones en el archivo flex-messaging-core.jar.
Siga los siguientes pasos para obtener y aplicar el parche:
Los parches están disponibles para las siguientes versiones de LCDS. Consulte el Boletín de seguridad de Adobe para obtener más información y para descargar el parche para su versión LCDS.
Navegue al directorio de parches y copie el archivo flex-messaging-core.jar.
Reemplace el archivo flex-messaging-core.jar en su aplicación LCDS con el archivo copiado en el paso 2.
Edite el archivo services-config.xml en su aplicación LCDS. Añada la propiedad allow-xml-doctype-declaration bajo channels/channel-definition/properties/serialization y establezca su valor en false. Por ejemplo:
<services-config>
|
---- <channels>
|
---- <channel-definition ...>
|
---- <properties>
|
---- <serialization>
|
---- <allow-xml-doctype-declaration>
false
</allow-xml-doctype-declaration>
Después de aplicar el parche, si encuentra el siguiente error, esto implica que su analizador XML no soporta la función disallow-doctype-decl. En este caso, necesitaría actualizar su analizador XML a uno que lo soporte. Por ejemplo, Xerces 2.9.1.
Error deserializing XML type jaxp_feature_not_supported:
Feature "http://apache.org/xml/features/disallow-doctype-decl" is not supported
Adobe MAX
La conferencia de creatividad
Del 14 al 16 de octubre en Miami Beach y en línea
Adobe MAX
La conferencia de creatividad
Del 14 al 16 de octubre en Miami Beach y en línea