Debian DSA-2710-1：xml-security-c - 複数の脆弱性

high Nessus プラグイン ID 66917

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Context Information Security の James Forshaw 氏は XML デジタルセキュリティー仕様の実装である xml-security-c のいくつかの脆弱性を発見しました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2013-2153 Santuario-C++ ライブラリでの XML デジタル署名の実装は、なりすまし問題に対して脆弱で、攻撃者が任意のコンテキストで既存の署名を再利用する可能性があります。

- CVE-2013-2154 XML 署名参照プロセスコード中の、無効な形式の XPointer 式の処理に、任意のコードの実行を引き起こす可能性のあるスタックオーバーフローが存在します。

- CVE-2013-2155 HMACベースの XML 署名の出力の長さの処理にバグが存在するため、特別に選ばれた入力を実行する際にサービス拒否を引き起こす可能性があります。

- CVE-2013-2156 Exclusive Canonicalization と共に任意に使用される PrefixList 属性の処理に、ヒープオーバーフローが存在するため、任意のコードの実行が可能になる場合があります。

ソリューション

xml-security-c パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（squeeze）では、これらの問題はバージョン 1.5.1-3+squeeze2 で修正されています。

安定版（stable）ディストリビューション（wheezy）に対して、これらの問題はバージョン 1.6.1-5+deb7u1 で修正されています。