FreeBSD：qt4-xml -- XML エンティティ拡張のサービス拒否（89709e58-d497-11e3-a3d5-5453ed2e2b49）

medium Nessus プラグイン ID 73881

Language:

概要

リモート FreeBSD ホストには、セキュリティ関連の更新がありません。

説明

Richard J. Moore による報告：

5.2 より前の Qt のバージョンの QXmlSimpleReader は、ドキュメントが過剰なメモリ使用を引き起こさないことを保証する制限なしに、XML ドキュメントの内部エンティティの拡張をサポートします。この API を使用するアプリケーションが信頼できないデータを処理すると、悪意あるドキュメントが処理された場合に、アプリケーションが予期しない量のメモリを使用する可能性があります。

処理のために大量のメモリと他のリソースを消費する内部エンティティを使用する XML ドキュメントを構築することが可能です。これは「Billion Laughs」攻撃として知られています。5.2 より前の Qt のバージョンは、この問題に対する保護を提供していませんでした。