更新済みの boost パッケージでは、次のセキュリティの脆弱性を修正しています：

無料で審査済みのポータブルな C++ ソースライブラリである Boost において、ordered_malloc() ルーチンの実装で、メモリを割り当てる際に、「next-size」および「max_size」のパラメーターをサニタイズする方法で、セキュリティの欠陥が見つかりました。メモリ割り当てのために Boost C++ ソースライブラリを使用しているアプリケーションに、「next_size」および「max_size」の値の安全性をアプリケーションレベルでチェックする機能がなかった場合、リモートの攻撃者は、特別に細工されたアプリケーション専用のファイル（これを正しく処理するにはランタイムでのメモリ割り当てが必要）を持ち込む可能性があり、それを開くと、そのアプリケーションのクラッシュを引き起こしたり、アプリケーションを実行しているユーザーの権限で任意のコードを実行したりする可能性があります（CVE-2012-2677）。

1.48 から 1.52 までの Boost に付属の Boost.Locale ライブラリに、次のセキュリティの欠陥があります（CVE-2013-0252）：boost::locale::utf::utf_traits は一部の無効な UTF-8 シーケンスを受け入れていました。UTF-8 の入力検証用にこれらの関数を使用しているアプリケーションは、無効な UTF-8 シーケンスを有効と判断する場合があるため、セキュリティの脅威に自身をさらす可能性があります。

パッケージにパッチが当てられており、上記のセキュリティの欠陥を修正しています。

検出

Mandriva Linux セキュリティアドバイザリ：boost（MDVSA-2013:065）

medium Nessus プラグイン ID 66079

変更ログが見つかりません