摘要:
apache-commons-vfs security update
安全等级: High
公告ID: KylinSec-SA-2025-2464
发布日期: 2025年5月1日
关联CVE: CVE-2025-27553 CVE-2025-30474
Apache Commons VFS 通过统一的 API 提供对多种文件系统的访问能力，支持包括本地磁盘、HTTP 服务器和 ZIP 压缩包在内的多种存储介质。其核心特性包括：
1.跨文件系统类型的一致性 API
2.广泛的文件系统支持
3.支持不同文件系统类型的本地缓存
4.事件通知机制
5.JVM 内信息缓存
6.提供支持 VFS 的 Ant 任务集
7. 可轻松集成至应用程序（如支持 VFS 的类加载器和 URL 流处理器工厂）
安全修复：
1.Apache Commons VFS 2.10.0 之前版本存在相对路径遍历漏洞。FileObject API 的 resolveFile 方法虽通过 NameScope.DESCENDENT 参数承诺"当解析文件不是基准文件子项时抛出异常"，但若路径包含编码的 .. 字符（如 %2E%2E/bar.txt），可能绕过校验返回非子项文件对象。(CVE-2025-27553)
2.Apache Commons VFS 存在敏感信息泄露漏洞。当文件不存在时，FtpFileObject 类抛出的异常消息会暴露原始 URI（可能包含密码）。(CVE-2025-30474)
修复方案：
1.立即升级至 2.10.0 或更高版本
2.检查现有代码中所有 resolveFile 调用是否依赖 DESCENDENT 安全校验
3. 审查日志系统是否记录含认证信息的异常消息
| cve名称 | 产品 | 组件 | 是否受影响 |
|---|---|---|---|
| CVE-2025-27553 | V6 | apache-commons-vfs | Fixed |
| CVE-2025-30474 | V6 | apache-commons-vfs | Fixed |
| 软件名称 | 架构 | 版本号 |
|---|---|---|
| apache-commons-vfs | noarch | 2.10.0-1.ks6 |
| apache-commons-vfs-devel | noarch | 2.10.0-1.ks6 |
| apache-commons-vfs-help | noarch | 2.10.0-1.ks6 |
方法一：下载安装包进行升级安装
1、通过下载链接下载需要升级的升级包保存，如 xxx.rpm
2、通过rpm命令升级，如 rpm -Uvh xxx.rpm
方法二：通过软件源进行升级安装
1、保持能够连接上互联网
2、通过yum命令升级指定的包，如 yum install 包名
