KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2011-4367 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Apache MyFaces是一款JavaServer Faces技术开源实现。MyFaces JavaServer Faces (JSF)允许javax.faces.resource 'ln'参数中使用相对路径或资源名可包含".."字符，攻击者利用此安全漏洞可查看敏感文件。
影响范围
应用：apache myfaces（影响面 Up to (including) 2.0.11）
应用：apache myfaces（影响面 Up to (including) 2.1.5）
系统：debian_10 mojarra（影响面 Up to (excluding) 2.2.8-6）
系统：debian_11 mojarra（影响面 Up to (excluding) 2.2.8-6）
系统：debian_12 mojarra（影响面 Up to (excluding) 2.2.8-6）
解决方案
Apache MyFaces Core 2.0.12和2.1.6已经修复此漏洞，建议用户下载使用：http://myfaces.apache.org/
参考信息
http://osvdb.org/show/osvdb/79002
http://seclists.org/fulldisclosure/2012/Feb/150
http://secunia.com/advisories/47973
http://www.securityfocus.com/bid/51939
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。