Apache Commons Compress和Apache Ant拒绝服务漏洞

发布日期：2012-05-24
更新日期：2012-05-25

受影响系统：
Apache Group Commons Compress 1.4
Apache Group Commons Compress 1.0
Apache Group Ant 1.8.3
Apache Group Ant 1.6.2
Apache Group Ant 1.5
不受影响系统：
Apache Group Commons Compress 1.4.1
Apache Group Ant 1.8.4
描述：
--------------------------------------------------------------------------------
BUGTRAQ  ID: 53676
CVE ID: CVE-2012-2098

Apache Commons Compress库定义了一个API，可处理ar、cpio、Unix dump、tar、zip、gzip、XZ、Pack200、bzip2文件。Apache Ant，是一个将软件编译、测试、部署等步骤联系在一起加以自动化的一个工具，大多用于Java环境中的软件开发。

Apache Commons Compress 1.4.1之前版本在使用bzip2压缩文件时存在安全漏洞，可通过发送到BZip2CompressorOutputStream类的特制文件利用此漏洞消耗系统资源，造成拒绝服务。

<*来源：David Jorm
 
  链接：
       
       
*>

建议：
--------------------------------------------------------------------------------
厂商补丁：

Apache Group
------------
Apache Group已经为此发布了一个安全公告（Fixed in Apache Commons Compress 1.4.1）以及相应补丁:

Fixed in Apache Commons Compress 1.4.1：Reporting New Security Problems with Apache Commons Compress

链接：