Bulletin d'alerte Debian

DLA-3172-1 libxml2 -- Mise à jour de sécurité pour LTS

Date du rapport :
30 octobre 2022
Paquets concernés :
libxml2
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 1022224, Bogue 1022225.
Dans le dictionnaire CVE du Mitre : CVE-2022-40303, CVE-2022-40304.
Plus de précisions :

libxml2, la bibliothèque XML GNOME, était vulnérable à des dépassements d'entier et à une corruption de mémoire.

  • CVE-2022-40303

    L'analyse d'un document XML avec l'option XML_PARSE_HUGE activée peut avoir pour conséquence un dépassement d'entier du fait de l'absence de vérification de sécurité dans certaines fonctions. De même, la fonction xmlParseEntityValue n'avait plus aucune limitation de longueur.

  • CVE-2022-40304

    Quand une boucle de références est détectée dans la fonction de nettoyage d'entités XML, les données de l'entité XML peuvent être stockées dans un dictionnaire. Dans ce cas, le dictionnaire devient corrompu avec pour conséquences des erreurs de logiques, dont des erreurs de mémoires telles qu'une double libération de zone mémoire.

Pour Debian 10 Buster, ces problèmes ont été corrigés dans la version 2.9.4+dfsg1-7+deb10u5.

Nous vous recommandons de mettre à jour vos paquets libxml2.

Pour disposer d'un état détaillé sur la sécurité de libxml2, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/libxml2.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.