Wouter Coekaerts 氏は、Erlang で書かれた分散 XMPP/Jabber サーバーである ejabberd が、受信したデータでエンティティの拡張を防げないので、いわゆる「billion laughs」攻撃に脆弱であることを発見しました。これによって、攻撃者がサーバーに対して特別に細工された XML データを送信して、DoS 攻撃（サービス拒否攻撃）を仕掛ける可能性があります。

ejabberdctl に関する問題を修正（接続に失敗する）

- バージョン2.1.8

- バージョン2.1.8

- バージョン2.1.8

- バージョン2.1.8

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ejabberdctl に関する問題を修正（接続に失敗する）

    - バージョン 2.1.8

    - バージョン 2.1.8

    - バージョン 2.1.8

    - バージョン 2.1.8

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

1 つのセキュリティの問題を修正する更新済みの jabberd パッケージが、Red Hat Enterprise Linux 5 用の Red Hat Network Proxy 5.4.1 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

このパッケージでは、XML ベースの通信に使用される Extensible Messaging and Presence Protocol（XMPP）サーバーの jabberd 2 が提供されています。

jabberd デーモンがエンティティ拡張の際に、適切に再帰を検出していないことが判明しました。リモートの攻撃者は特別に細工された大量のネスト化エンティティ参照を含む XML ファイルを提供できます。これは、jabberd デーモンで処理されると、サービス拒否を引き起こします（過剰なメモリおよび CPU 消費）。
(CVE-2011-1755)

Red Hat は、この問題を報告してくれた Debian セキュリティチームの Nico Golde 氏に感謝の意を表します。Debian セキュリティチームは Wouter Coekaerts 氏をオリジナルレポーターとして認識しています。

Red Hat Network Proxy 5.4.1 のユーザーは、この更新済みの jabberd パッケージにアップグレードし、この問題を解決することが推奨されます。この更新を有効にするには、Red Hat Network Proxy を再起動する必要があります。詳細についは、ソリューションセクションを参照してください。

1 つのセキュリティの問題を修正する更新済みの jabberd パッケージが、Red Hat Enterprise Linux 5 用の Red Hat Network Satellite 5.4.1 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

このパッケージでは、XML ベースの通信に使用される Extensible Messaging and Presence Protocol（XMPP）サーバーの jabberd 2 が提供されています。

jabberd デーモンがエンティティ拡張の際に、適切に再帰を検出していないことが判明しました。リモートの攻撃者は特別に細工された大量のネスト化エンティティ参照を含む XML ファイルを提供できます。これは、jabberd デーモンで処理されると、サービス拒否を引き起こします（過剰なメモリおよび CPU 消費）。
(CVE-2011-1755)

Red Hat は、この問題を報告してくれた Debian セキュリティチームの Nico Golde 氏に感謝の意を表します。Debian セキュリティチームは Wouter Coekaerts 氏をオリジナルレポーターとして認識しています。

Red Hat Network Satellite 5.4.1 のユーザーは、この更新済みの jabberd パッケージへアップグレードし、この問題を解決することが推奨されます。この更新を有効にするには、 Red Hat Network Satellite を再起動する必要があります。
詳細についは、ソリューションセクションを参照してください。

CVE アドバイザリでは次が報告されています：

2.1.7 より前、3.0.0-alpha-3 より前の 3.x の ejabberd、および 0.9.7 より前の exmpp における expat_erl.c は、エンティティ展開の際に再帰を適切に検出していません。これにより、リモートの攻撃者が、大量のネスト化されたエンティティ参照を含む細工された XML ドキュメントからサービス拒否（メモリおよび CPU 消費）を引き起こすことができます。これは、CVE-2003-1564 と類似した問題です。

リモートホストは、GLSA-201206-10 で説明されている脆弱性の影響を受けます（ejabberd：複数のサービス拒否の脆弱性）。

Subversion に複数の脆弱性が発見されています。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

ejabberd はリモートの攻撃者にサービス拒否状態を引き起こさせ、その結果メモリおよび CPU の消費が、デーモンまたは前システムのクラッシュを引き起こす可能性があります。
 回避策：

現時点で、既知の回避策はありません。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
55036	Debian DSA-2248-1：ejabberd - サービス拒否	Nessus	Debian Local Security Checks	2011/6/10	2021/1/4	medium
55463	Fedora 15：ejabberd-2.1.8-2.fc15（2011-8415）	Nessus	Fedora Local Security Checks	2011/6/30	2021/1/11	medium
55465	Fedora 14：ejabberd-2.1.8-2.fc14（2011-8437）	Nessus	Fedora Local Security Checks	2011/6/30	2021/1/11	medium
63984	RHEL 5：jabberd（RHSA-2011:0881）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
63985	RHEL 5：jabberd（RHSA-2011:0882）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
55429	FreeBSD：ejabberd -- リモートのサービス拒否の脆弱性（01d3ab7d-9c43-11e0-bc0f-0014a5e3cda6）	Nessus	FreeBSD Local Security Checks	2011/6/27	2021/1/6	medium
59648	GLSA-201206-10：ejabberd：複数のサービス拒否の脆弱性	Nessus	Gentoo Local Security Checks	2012/6/22	2021/1/6	medium

検出

プラグインの検索

medium

medium

medium

high

high

medium

medium