不要总想搞大新闻，这个漏洞不是核弹！

03 漏洞复现 

漏洞发生在libxslt中处理document的时候，没有对输入的参数进行校验，最终调用到了libxml2中的xmlLoadExternalEntity方法加载外部实体。

但是需要注意的是，在Chromium中libxml2的版本为2.4.9，在加载外部实体时会过滤网络请求，无法利用该XXE漏洞直接外传数据，但可通过其他方式外传数据。

04 修复方案 

1、官方修复方案：

Chromium官方已经发布了修复版本，请及时检查Google Chrome版本并更新，检查方式如下所示：

2、临时修复方案：

1. 对于MacOS用户，不要使用Safari作为系统默认浏览器。在受影响软件版本还无更新版本的情况下，禁用相关软件的内置浏览器。
   企业微信使用的是系统默认的浏览器，所以无需修改。
   微信的配置方式如下所示：

2. 使用流量防护设备如TDP对流量进行监控，及时发现敏感信息泄露

3. 规范化软件使用，不要使用一些小众浏览器和不知名软件

4. 提升个人安全意识，不要随意点击陌生网址

05 微步在线产品侧支持情况  

微步在线威胁感知平台TDP已支持检测，规则ID为

S3100129697、S3100131033、S3100131034。

---End---

微步漏洞情报订阅服务

微步提供漏洞情报订阅服务，精准、高效助力企业漏洞运营

• 提供高价值漏洞情报，具备及时、准确、全面和可操作性，帮助企业高效应对漏洞应急与日常运营难题；
• 可实现对高威胁漏洞提前掌握，以最快的效率解决信息差问题，缩短漏洞运营MTTR；
• 提供漏洞完整的技术细节，更贴近用户漏洞处置的落地；
• 将漏洞与威胁事件库、APT组织和黑产团伙攻击大数据、网络空间测绘等结合，对漏洞的实际风险进行持续动态更新。

X 漏洞奖励计划

“X漏洞奖励计划”是微步X情报社区推出的一款针对未公开漏洞的奖励计划，我们鼓励白帽子提交挖掘到的0day漏洞，并给予白帽子可观的奖励。我们期望通过该计划与白帽子共同努力，提升0day防御能力，守护数字世界安全。