DebianDSA-3898-1：expat - セキュリティ更新

critical Nessus プラグイン ID 101035

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

XML解析CライブラリであるExpatに、複数の脆弱性が発見されました。Common Vulnerabilities and Exposuresプロジェクトは次の問題を特定しています：

- CVE-2016-9063Gustavo Grieco氏は、XMLの解析中に整数オーバーフローの欠陥を発見しました。攻撃者が、この欠陥を利用して、Expatライブラリを使用するアプリケーションにサービス拒否を引き起こす可能性があります。

- CVE-2017-9233Rhodri James氏は、外部エンティティで無効な形式のXMLを解析する際に、entityValueInitProcessor()関数内で無限ループの脆弱性を発見しました。攻撃者が、この欠陥を利用して、Expatライブラリを使用するアプリケーションにサービス拒否を引き起こす可能性があります。

ソリューション

expatパッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（jessie）では、これらの問題はバージョン2.1.0-6+deb8u4で修正されています。

安定版（stable）ディストリビューション（stretch）では、これらの問題はバージョン2.2.0-2~deb9u1で修正されています。安定版（stable）ディストリビューション（stretch）では、CVE-2016-9063は初期リリースの前に修正されました。