Bulletin d'alerte Debian

DLA-1008-1 libxml2 -- Mise à jour de sécurité pour LTS

Date du rapport :
30 juin 2017
Paquets concernés :
libxml2
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2017-7375, CVE-2017-9047, CVE-2017-9048, CVE-2017-9049, CVE-2017-9050.
Plus de précisions :
  • CVE-2017-7375

    Validation absente d’entités externes dans xmlParsePEReference.

  • CVE-2017-9047 / CVE-2017-9048

    Un dépassement de tampon a été découvert dans libxml2 version 20904-GITv2.9.4-16-g0741801. La fonction xmlSnprintfElementContent dans valid.c est supposée vider récursivement la définition du contenu de l’élément dans un tampon char buf de taille size. La variable len est assignée à strlen(buf). Si le content->type est XML_ELEMENT_CONTENT_ELEMENT, alors (1) le content->prefix est joint à buf (s'il y a assez d'espace) à la suite de quoi (2) content->name est écrit dans le tampon. Cependant, la vérification pour savoir si le content->name est suffisamment grand utilise aussi len plutôt que la taille du tampon mis à jour strlen(buf). Cela permet d’écrire size octets supplémentaires au-delà de la mémoire allouée. Cette vulnérabilité fait que les programmes utilisant libxml2, tels que PHP, plantent.

  • CVE-2017-9049 / CVE-2017-9050

    libxml2 version 20904-GITv2.9.4-16-g0741801 est vulnérable à une lecture hors limites de tampon basé sur le tas dans la fonction xmlDictComputeFastKey dans dict.c. Cette vulnérabilité fait que les programmes utilisant libxml2, tels que PHP, plantent. Cette vulnérabilité existe à cause d’un correctif incomplet pour libxml2 (Bogue n° 759398).

Pour Debian 7 Wheezy, ces problèmes ont été corrigés dans la version 2.8.0+dfsg1-7+wheezy8.

Nous vous recommandons de mettre à jour vos paquets libxml2.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.