DokumentationAEM 6.5Benutzerhandbuch

Sicherheitslücke von XML External Entity (XXE) in BlazeDS

Last update: Tue Sep 02 2025 00:00:00 GMT+0000 (Coordinated Universal Time)
  • Gilt für:
  • Experience Manager 6.5

Erstellt für:

  • Admin

| Gilt auch für AEM Forms auf JEE, Digital Enterprise Platform |

Adobe wurde über eine XML External Entity (XXE)-Sicherheitslücke (CVE-2015-3269) in BlazeDS informiert. Um die Sicherheitslücke in BlazeDS-Distributionen, die in LiveCycle Data Services (LCDS) eingebettet sind, nachträglich zu beheben, hat Adobe einen Patch veröffentlicht, der Fehlerbehebungen in der Datei „flex-messaging-core.jar“ enthält.

Führen Sie die folgenden Schritte aus, um den Patch abzurufen und anzuwenden:

  1. Patches sind für die folgenden LCDS-Versionen verfügbar. Weitere Informationen und den Patch für Ihre LCDS-Version finden Sie im Adobe-Sicherheitsbulletin.

    • LCDS 3.0.0.354170
    • LCDS 3.1.0.354173
    • LCDS 4.5.1.354169
    • LCDS 4.6.2.354169
    • LCDS 4.7.0.354169

  2. Navigieren Sie zum Patch-Verzeichnis und kopieren Sie die Datei „flex-messaging-core.jar“.

  3. Ersetzen Sie die Datei „flex-messaging-core.jar“ in Ihrer LCDS-Anwendung durch die in Schritt 2 kopierte Datei.

  4. Bearbeiten Sie die Datei „services-config.xml“ in Ihrem LCDS-Programm, um den Wert der Eigenschaft „allow-xml-external-entity-expansion“ als „false“ anzugeben. Der Standardwert lautet „wahr“.

    Fügen Sie außerdem die Eigenschaft unter „channels/channel-definition/properties/serialization“ hinzu. Beispiel:

    code language-none 
    |<services-config..>

|

---- <channels..>

    |

    ---- <channel-definition ...>

        |

        ---- <properties>

            |

            ---- <serialization>

                |

                ---- <allow-xml-external-entity-expansion>
                        false
                    </allow-xml-external-entity-expansion>
    note note
    NOTE
    Der Standardwert „true“ sorgt für Abwärtskompatibilität und muss deaktiviert werden, um den XML-Parser so zu konfigurieren, dass die Entitätserweiterung deaktiviert wird, wie in „XML External Entity(XE)-Processing“ beschrieben.
NOTE
Wenn nach der Installation des Patches der folgende Fehler auftritt, bedeutet dies, dass Ihr XML-Parser die Funktion „external-general-entities“ nicht unterstützt. Daher müssen Sie Ihren XML-Parser wie Xerces 2.9.1 aktualisieren.

Error deserializing XML type jaxp_feature_not_supported: Feature "http://xml.org/sax/features/external-general-entities" is not supported

Rechtliche Hinweise | Online-Datenschutzrichtlinie

recommendation-more-help
19ffd973-7af2-44d0-84b5-d547b0dffee2