Debian DSA-2250-1：citadel - サービス拒否

medium Nessus プラグイン ID 55038

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

Wouter Coekaerts 氏は、高機能のフルグループウェアサーバーである Citadel の Jabber サーバーコンポーネントが、受信したデータでエンティティの拡張を防げないので、いわゆる「billion laughs」攻撃に脆弱であることを発見しました。これによって、攻撃者がサーバーに対して特別に細工された XML データを送信して、DoS 攻撃（サービス拒否攻撃）を仕掛ける可能性があります。

ソリューション

citadel パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（lenny）では、この問題はバージョン 7.37-8+lenny1 で修正されています。

安定版（stable）ディストリビューション（squeeze）では、この問題はバージョン 7.83-2squeeze2 で修正されています。