Huangzhicong

**Name of the Vulnerable Software and Affected Versions** Apache UIMA Java SDK versions prior to 3.5.0 **Description** The issue is related to the deserialization of untrusted data and improper input validation in the Apache UIMA Java SDK. This affects several locations in the code, including the deserialization of Java-serialized CAS, CAS Editor Eclipse plugin, Vinci Analysis Engine service, CasAnnotationViewerApplet, CasTreeViewerApplet, and the checkpointing feature of the CPE module. The unrestricted deserialization of Java-serialized CAS files may allow arbitrary remote code execution. Users or developers who use the CasIOUtils in their own applications and services to parse serialized CAS data are affected unless they ensure that the data passed to CasIOUtils is not a serialized Java object. **Recommendations** To resolve the issue, upgrade to Apache UIMA Java SDK version 3.5.0, which fixes the issue. For users running on Java 9+ platforms, configure a filter pattern through the "jdk.serialFilter" system property to allow deserializing specific classes, and use "!*" as the final component to disallow deserialization of any classes not listed in the pattern. For Java 1.8, upgrade to a recent Java version to secure the affected UIMA version, as Java 1.8 does not support the ObjectInputFilter.

**Nome do software vulnerável e versões afetadas** Versões do Apache Atlas de 0.8.4 a 2.2.0 **Descrição** Uma vulnerabilidade no módulo de importação do Apache Atlas permite que um usuário autenticado grave no sistema de arquivos do servidor web. **Recomendações** Para as versões do Apache Atlas 0.8.4 a 2.2.0, atualize para uma versão que contenha uma correção para este problema. Como solução temporária, considere restringir o acesso ao módulo de importação até que um patch esteja disponível.

**Nome do software vulnerável e versões afetadas** Versões do Apache UIMA anteriores à 3.3.0 **Descrição** Uma vulnerabilidade de traversal de caminho relativo na classe FileUtil, utilizada pelo componente de gerenciamento PEAR do Apache UIMA, permite que um invasor crie arquivos fora do diretório de destino designado usando nomes de entradas ZIP cuidadosamente criados. Arquivos PEAR nunca devem ser instalados em uma instalação do UIMA a partir de fontes não confiáveis, pois os arquivos PEAR são plug-ins executáveis capazes de realizar quaisquer ações com os mesmos privilégios da Máquina Virtual Java do host. **Recomendações** Para versões anteriores à 3.3.0, considere restringir a instalação de arquivos PEAR provenientes de fontes não confiáveis para minimizar o risco de exploração. Como solução temporária, valide cuidadosamente os nomes das entradas ZIP nos arquivos PEAR antes da instalação.