CVE-2018-1311

总结

Apache Xerces-C 3.0.0 至 3.2.3 XML 解析器包含一个在扫描外部 DTD 时触发的释放后使用（use-after-free）错误。该缺陷尚未在库的维护版本中得到解决，目前除了禁用 DTD 处理之外没有其他缓解措施。这可以通过 DOM 使用标准解析器功能，或通过 SAX 使用 XERCES_DISABLE_DTD 环境变量来实现。

• xerces-3.2.3-DTD-hotfix补丁

  // SPDX-FileCopyrightText: 部分版权归西门子2021所有 // 2021年7月15日由西门子和/或其附属公司修改，以修复CVE-2018-1311：Apache Xerces-C在扫描外部DTD时的use-after-free漏洞。版权归西门子2021所有。