Podatności Apache SIS

Apache SIS w wersjach od 0.7 do 1.6 otwiera pliki, do których odwołują się przetwarzane dane, niezależnie od ich ścieżki, co może pozwolić na wskazanie pliku lokalnego. Dotyczy to formatów GML z atrybutami xlink:href, WKT z elementami parametrów siatek przesunięć datum oraz scen Landsat z ścieżkami do plików GeoTIFF. Odczyt zatrzymuje się na pierwszym błędzie parsowania, co czyni wyciek danych mało prawdopodobnym.

W module przechowywania SQL Apache SIS podczas sortowania strumienia obiektów klauzula jest kopiowana po ORDER BY bez cytowania znaku identyfikatora. Spreparowana klauzula sortowania może wstrzyknąć SQL do zapytania. Problem dotyczy modułu sql-storage w wersjach od 1.0 do 1.6; inne moduły, takie jak sis-referencing, nie są dotknięte.

Apache SIS ma podatność na XML External Entity (XXE), która pozwala atakującemu na ujawnienie zawartości lokalnych plików serwera podczas parsowania określonych formatów (GeoTIFF, ISO 19115, GML, GPX). Dotyczy wersji od 0.4 do 1.5.