DocumentationAEM 6.5Guide de l’utilisateur

Vulnérabilité d’entité externe XML (XXE) dans BlazeDS

Last update: Tue Sep 02 2025 00:00:00 GMT+0000 (Coordinated Universal Time)
  • S'applique à :
  • Experience Manager 6.5

Créé pour :

  • Administration

| S’applique également à AEM Forms sur JEE, Digital Enterprise Platform |

Adobe a été averti d’une vulnérabilité d’entité externe XML (XXE) (CVE-2015-3269) dans BlazeDS. Pour corriger rétrospectivement la vulnérabilité dans les distributions BlazeDS intégrées à LiveCycle Data Services (LCDS), Adobe a publié un correctif qui inclut notamment des corrections dans le fichier flex-messaging-core.jar.

Procédez comme suit pour obtenir et appliquer le correctif :

  1. Des correctifs sont disponibles pour les versions de LCDS suivantes. Consultez le Bulletin de sécurité Adobe pour plus d’informations et pour télécharger le correctif correspondant à votre version de LCDS.

    • LCDS 3.0.0.354170
    • LCDS 3.1.0.354173
    • LCDS 4.5.1.354169
    • LCDS 4.6.2.354169
    • LCDS 4.7.0.354169

  2. Accédez au répertoire des correctifs et copiez le fichier flex-messaging-core.jar.

  3. Remplacez le fichier flex-messaging-core.jar dans votre application LCDS par le fichier copié lors de l’étape 2.

  4. Modifiez le fichier services-config.xml dans votre application LCDS pour définir la valeur de la propriété allow-xml-external-entity-expansion sur false. La valeur par défaut est true.

    Ajoutez également la propriété à l’emplacement channels/channel-definition/properties/serialization. Par exemple :

    code language-none 
    |<services-config..>

|

---- <channels..>

    |

    ---- <channel-definition ...>

        |

        ---- <properties>

            |

            ---- <serialization>

                |

                ---- <allow-xml-external-entity-expansion>
                        false
                    </allow-xml-external-entity-expansion>
    note note
    NOTE
    La valeur true par défaut conserve la rétrocompatibilité et doit être désactivée pour configurer l’analyseur XML afin de désactiver l’extension d’entité, comme expliqué dans le Traitement d’une entité externe XML (XXE).
NOTE
Après l’application du correctif, si vous rencontrez l’erreur suivante, cela signifie que votre analyseur XML ne prend pas en charge la fonction external-general-entities. Par conséquent, vous devez mettre à jour votre analyseur XML, en utilisant par exemple Xerces 2.9.1.

Error deserializing XML type jaxp_feature_not_supported: Feature "http://xml.org/sax/features/external-general-entities" is not supported

Mentions légales | Politique de confidentialité en ligne

recommendation-more-help
19ffd973-7af2-44d0-84b5-d547b0dffee2