В Apache Tika 1.19 (CVE-2018-11761) мы добавили ограничение расширения сущностей для синтаксического анализа XML. Однако Tika повторно испо…

В Apache Tika 1.19 (CVE-2018-11761) мы добавили ограничение расширения сущностей для синтаксического анализа XML. Однако Tika повторно использует SAXParsers и вызывает reset() после каждого синтаксического анализа, что для синтаксических анализаторов Xerces2, согласно документации, удаляет указанный пользователем SecurityManager и, таким образом, удаляет ограничения расширения сущностей после первого синтаксического анализа. Поэтому версии Apache Tika от 0.1 до 1.19 по-прежнему уязвимы для расширений сущностей, которые могут привести к атаке типа «отказ в обслуживании». Пользователям следует обновиться до версии 1.19.1 или более поздней.