Wouter Coekaerts discovered that jabberd14, an instant messaging server using the Jabber/XMPP protocol, is vulnerable to the so-called'billion laughs' attack because it does not prevent entity expansion on received data. This allows an attacker to perform denial of service attacks against the service by sending specially crafted XML data to it.

The oldstable distribution (lenny), does not contain jabberd14.

An updated jabberd package that fixes one security issue is now available for Red Hat Network Proxy 5.4.1 for Red Hat Enterprise Linux 5.

The Red Hat Security Response Team has rated this update as having low security impact. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available from the CVE link in the References section.

This package provides jabberd 2, an Extensible Messaging and Presence Protocol (XMPP) server used for XML based communication.

It was found that the jabberd daemon did not properly detect recursion during entity expansion. A remote attacker could provide a specially crafted XML file containing a large number of nested entity references, which once processed by the jabberd daemon, could lead to a denial of service (excessive memory and CPU consumption).
(CVE-2011-1755)

Red Hat would like to thank Nico Golde of the Debian Security Team for reporting this issue. The Debian Security Team acknowledges Wouter Coekaerts as the original reporter.

Users of Red Hat Network Proxy 5.4.1 are advised to upgrade to this updated jabberd package, which resolves this issue. For this update to take effect, Red Hat Network Proxy must be restarted. Refer to the Solution section for details.

An updated jabberd package that fixes one security issue is now available for Red Hat Network Satellite 5.4.1 for Red Hat Enterprise Linux 5.

The Red Hat Security Response Team has rated this update as having low security impact. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available from the CVE link in the References section.

This package provides jabberd 2, an Extensible Messaging and Presence Protocol (XMPP) server used for XML based communication.

It was found that the jabberd daemon did not properly detect recursion during entity expansion. A remote attacker could provide a specially crafted XML file containing a large number of nested entity references, which once processed by the jabberd daemon, could lead to a denial of service (excessive memory and CPU consumption).
(CVE-2011-1755)

Red Hat would like to thank Nico Golde of the Debian Security Team for reporting this issue. The Debian Security Team acknowledges Wouter Coekaerts as the original reporter.

Users of Red Hat Network Satellite 5.4.1 are advised to upgrade to this updated jabberd package, which resolves this issue. For this update to take effect, Red Hat Network Satellite must be restarted.
Refer to the Solution section for details.

1 つのセキュリティの問題を修正する更新済みの jabberd パッケージが、Red Hat Enterprise Linux 5 用の Red Hat Network Proxy 5.4.1 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

このパッケージでは、XML ベースの通信に使用される Extensible Messaging and Presence Protocol（XMPP）サーバーの jabberd 2 が提供されています。

jabberd デーモンがエンティティ拡張の際に、適切に再帰を検出していないことが判明しました。リモートの攻撃者は特別に細工された大量のネスト化エンティティ参照を含む XML ファイルを提供できます。これは、jabberd デーモンで処理されると、サービス拒否を引き起こします（過剰なメモリおよび CPU 消費）。
(CVE-2011-1755)

Red Hat は、この問題を報告してくれた Debian セキュリティチームの Nico Golde 氏に感謝の意を表します。Debian セキュリティチームは Wouter Coekaerts 氏をオリジナルレポーターとして認識しています。

Red Hat Network Proxy 5.4.1 のユーザーは、この更新済みの jabberd パッケージにアップグレードし、この問題を解決することが推奨されます。この更新を有効にするには、Red Hat Network Proxy を再起動する必要があります。詳細についは、ソリューションセクションを参照してください。

1 つのセキュリティの問題を修正する更新済みの jabberd パッケージが、Red Hat Enterprise Linux 5 用の Red Hat Network Satellite 5.4.1 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

このパッケージでは、XML ベースの通信に使用される Extensible Messaging and Presence Protocol（XMPP）サーバーの jabberd 2 が提供されています。

jabberd デーモンがエンティティ拡張の際に、適切に再帰を検出していないことが判明しました。リモートの攻撃者は特別に細工された大量のネスト化エンティティ参照を含む XML ファイルを提供できます。これは、jabberd デーモンで処理されると、サービス拒否を引き起こします（過剰なメモリおよび CPU 消費）。
(CVE-2011-1755)

Red Hat は、この問題を報告してくれた Debian セキュリティチームの Nico Golde 氏に感謝の意を表します。Debian セキュリティチームは Wouter Coekaerts 氏をオリジナルレポーターとして認識しています。

Red Hat Network Satellite 5.4.1 のユーザーは、この更新済みの jabberd パッケージへアップグレードし、この問題を解決することが推奨されます。この更新を有効にするには、 Red Hat Network Satellite を再起動する必要があります。
詳細についは、ソリューションセクションを参照してください。

Wouter Coekaerts 氏は、Jabber/XMPP プロトコルを使用しているインスタントメッセージングサーバーである jabberd14 が、受信したデータでエンティティの拡張を阻止していないため、いわゆる「billion laughs」攻撃に脆弱であることを発見しました。これによって、攻撃者がサーバーに対して特別に細工された XML データを送信して、DoS 攻撃（サービス拒否攻撃）を仕掛ける可能性があります。

旧安定版（oldstable）ディストリビューション（lenny）には、jabberd14 は含まれていません。

更新后的 jabberd 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 5 的 Red Hat Network Proxy 5.4.1。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

此程序包提供了 jabberd 2，一种用于基于 XML 的通信的可扩展通讯和表示协议 (XMPP) 服务器。

已发现 jabberd 后台程序在实体扩展过程中未正确检测递归。远程攻击者可提供特别构建的包含大量嵌套实体引用的 XML 文件，一经 jabberd 后台程序处理，可导致拒绝服务（过量内存和 CPU 消耗）。
(CVE-2011-1755)

Red Hat 在此感谢 Debian 安全团队的 Nico Golde 报告此问题。Debian 安全团队感谢原始报告者 Wouter Coekaerts。

建议 Red Hat Network Proxy 5.4.1 用户升级此更新后的 jabberd 程序包，其中解决了此问题。必须重新启动 Red Hat Network Proxy 才能使此更新生效。有关详细信息，请参阅“解决方案”部分。

更新后的 jabberd 程序包修复了一个安全问题，现在可用于 Red Hat Network Satellite 5.4.1 for Red Hat Enterprise Linux 5。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

此程序包提供了 jabberd 2，一种用于基于 XML 的通信的可扩展通讯和表示协议 (XMPP) 服务器。

已发现 jabberd 后台程序在实体扩展过程中未正确检测递归。远程攻击者可提供特别构建的包含大量嵌套实体引用的 XML 文件，一经 jabberd 后台程序处理，可导致拒绝服务（过量内存和 CPU 消耗）。
(CVE-2011-1755)

Red Hat 在此感谢 Debian 安全团队的 Nico Golde 报告此问题。Debian 安全团队感谢原始报告者 Wouter Coekaerts。

建议 Red Hat Network Satellite 5.4.1 用户升级此更新后的 jabberd 程序包，其中解决了此问题。必须重新启动 Red Hat Network Satellite 才能使此更新生效。
有关详细信息，请参阅“解决方案”部分。

Wouter Coekaerts 发现，使用 Jabber/XMPP 协议的即时消息服务器 jabberd14 容易受到所谓的“Billion Laughs”攻击，因为其并未防止对于已接收数据的实体扩展。这允许攻击者通过向服务发送特别构建的 XML 数据来对服务执行拒绝服务攻击。

旧稳定发行版本 (lenny) 不包含 jabberd14。

Wouter Coekaerts 發現，使用 Jabber/XMPP 通訊協定的即時訊息伺服器 jabberd14 容易受到所謂的「Billion Laughs」攻擊，因為其並未針對接收的資料防止實體擴充。這可能讓攻擊者透過傳送特製的 XML 資料至服務，對該服務發動拒絕服務攻擊。

舊的穩定發行版本 (lenny) 不包含 jabberd14。

現已提供適用於 Red Hat Enterprise Linux 5 之 Red Hat Network Proxy 5.4.1 的更新版 jabberd 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

此套件提供 jabberd 2，這是一種可延伸傳訊和顯示通訊協定 (XMPP) 的伺服器，適用於以 XML 為基礎的通訊。

據發現，jabberd 程序並未在實體擴充期間正確偵測遞迴。遠端攻擊者可提供內含大量巢狀實體參照的特製 XML 檔案 (曾由 jabberd 程序處理)，進而可導致拒絕服務 (過度消耗記憶體和 CPU)。
(CVE-2011-1755)

Red Hat 要感謝 Debian 安全性團隊的 Nico Golde 報告此問題。Debian 安全性團隊確認 Wouter Coekaerts 為原始報告者。

建議 Red Hat Network Proxy 5.4.1 使用者升級至此更新版 jabberd 套件，其可解決此問題。必須重新啟動 Red Hat Network Proxy，此更新才會生效。如需詳細資訊，請參閱〈解決方案〉一節。

現已提供適用於 Red Hat Enterprise Linux 5 之 Red Hat Network Satellite 5.4.1 的更新版 jabberd 套件，可修正一個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

此套件提供 jabberd 2，這是一種可延伸傳訊和顯示通訊協定 (XMPP) 的伺服器，適用於以 XML 為基礎的通訊。

據發現，jabberd 程序並未在實體擴充期間正確偵測遞迴。遠端攻擊者可提供內含大量巢狀實體參照的特製 XML 檔案 (曾由 jabberd 程序處理)，進而可導致拒絕服務 (過度消耗記憶體和 CPU)。
(CVE-2011-1755)

Red Hat 要感謝 Debian 安全性團隊的 Nico Golde 報告此問題。Debian 安全性團隊確認 Wouter Coekaerts 為原始報告者。

建議 Red Hat Network Satellite 5.4.1 使用者升級至此更新版 jabberd 套件，其可解決此問題。必須重新啟動 Red Hat Network Satellite，此更新才會生效。
如需詳細資訊，請參閱〈解決方案〉一節。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
55037	Debian DSA-2249-1 : jabberd14 - denial of service	Nessus	Debian Local Security Checks	2011/6/10	2021/1/4	medium
63984	RHEL 5 : jabberd (RHSA-2011:0881)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
63985	RHEL 5 : jabberd (RHSA-2011:0882)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
63984	RHEL 5：jabberd（RHSA-2011:0881）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
63985	RHEL 5：jabberd（RHSA-2011:0882）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
55037	Debian DSA-2249-1：jabberd14 - サービス拒否	Nessus	Debian Local Security Checks	2011/6/10	2021/1/4	medium
63984	RHEL 5：jabberd (RHSA-2011:0881)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
63985	RHEL 5：jabberd (RHSA-2011:0882)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
55037	Debian DSA-2249-1：jabberd14 - 拒绝服务	Nessus	Debian Local Security Checks	2011/6/10	2021/1/4	medium
55037	Debian DSA-2249-1 : jabberd14 - 拒絕服務	Nessus	Debian Local Security Checks	2011/6/10	2021/1/4	medium
63984	RHEL 5：jabberd (RHSA-2011:0881)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
63985	RHEL 5：jabberd (RHSA-2011:0882)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high

検出

プラグインの検索

medium

high

high

high

high

medium

high

high

medium

medium

high

high