Offensive ResearchのAlberto Garcia氏、Francisco Oca氏、Suleman Ali氏は、Xerces-C XMLパーサーが特定の種類の外部DTD参照を誤って処理するため、DTDへのパスの処理中にNULLポインターのデリファレンスが発生することを発見しました。このバグにより、DTD処理が可能で外部のDTDの使用が妨げられないアプリケーションでサービス拒否攻撃が引き起こされる可能性があり、リモートでコードが実行される可能性があります。

Debian 7「Wheezy」では、これらの問題はバージョン3.1.1-3+deb7u5で修正されました。

お使いの xerces-c パッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-1328-1: xerces-c セキュリティ更新

critical Nessus プラグイン ID 108728

変更ログが見つかりません