EPub 服务漏洞同时影响亚马逊、苹果和 Google 阅读器

近日，安全专家 克雷格·阿伦特（@craig_arendt）发现基于 EPub 服务的各大电子阅读器漏洞，能够同时影响亚马逊、苹果、谷歌等厂商。开源的 Java 库 “EpubCheck”被用于将内容转换为通用电子书格式，专家在 EpubCheck 库中发现了 XXE 漏洞可影响主要的 EPub 服务，或可导致信息泄露和拒绝服务。

EPub（Electronic Publication的缩写，意为：电子出版），是一个自由的开放标准，其文字内容可以根据阅读设备的特性，以最适于阅读的方式显示。（百度百科）

此次漏洞会影响支持 EPub 的服务和阅读器，如：

EpubCheck <= 4.0.1 （验证 EPub 的工具）
Adobe Digital Editions <= 4.5.2 （电子书阅读器）
亚马逊 KDP （Kindle 在线出版服务）
Apple Transporter
以及 Google电子书上传服务等

研究人员着重测试过 “EpubCheck” ，发现了 XML 外部实体注入（XXE）问题。“验证工具（EpubCheck）易受 XXE 攻击，因此任何依赖此版本工具来检查图书有效性的应用程序都容易受到这种类型的攻击。”阿伦特解释称，亚马逊的 Kindle 文件上传服务存在一个 XXE 漏洞，或可被攻击者利用来窃取书籍和资料；类似的漏洞也影响 Apple Transporter 服务，攻击者能将恶意制作的图书发送到 App Store，在 EPub 解析过程中可能导致用户信息泄露；Google Play 图书服务虽不受 XXE 漏洞的影响，但专家发现了触发 XML 实体扩展漏洞的可能性，攻击者能够利用漏洞通过爆炸式增长的数据解析请求来导致拒绝服务。

目前，以上所有供应商都已对易受攻击的 EPub 漏洞进行了修复。

from hackernews.cc.thanks for it.