Bulletin d'alerte Debian

DLA-1641-1 mxml -- Mise à jour de sécurité pour LTS

Date du rapport :

25 janvier 2019

Paquets concernés :

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 825855, Bogue 918007.
Dans le dictionnaire CVE du Mitre : CVE-2016-4570, CVE-2016-4571, CVE-2018-20004.

Plus de précisions :

Plusieurs conditions d’épuisement de pile ont été trouvées dans mxml qui pourrait facilement planter lors de l’analyse de fichiers xml.

CVE-2016-4570
La fonction mxmlDelete dans mxml-node.c permet à des attaquants distants de provoquer un déni de service (consommation de pile) à l’aide d’un fichier xml contrefait.
CVE-2016-4571
La fonction mxml_write_node dans mxml-file.c permet à des attaquants distants de provoquer un déni de service (consommation de pile) à l’aide d’un fichier xml contrefait.
CVE-2018-20004
Un dépassement de pile dans mxml_write_node à l’aide de vecteurs impliquant un nombre à virgule flottante de double précision.

Pour Debian 8 Jessie, ces problèmes ont été corrigés dans la version 2.6-2+deb8u1.

Nous vous recommandons de mettre à jour vos paquets mxml.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.