Debian セキュリティ勧告

DSA-1895-1 xmltooling -- 複数の脆弱性

報告日時:

2009-09-24

影響を受けるパッケージ:

xmltooling

危険性:

あり

参考セキュリティデータベース:

現時点では、その他の外部参考セキュリティデータベースはありません。

詳細:

Shibboleth で使用している xmltooling パッケージに、複数の問題が発見されました。

Chris Ries さんにより、細工された URL デコードの際にクラッシュ (そして任意のコードの実行の可能性) に繋がる場合があることが発見されました。
Ian Young さんにより、証明署名に埋め込まれた NULL 文字が正しく処理されておらず、PKIX 信用認証機構を用いている設定で偽装 (impersonation) 攻撃が可能であることが発見されました。
SAML メタデータで、鍵の使用制限の制約が誤って無視されています。この問題は大きなものではありませんが、Opensaml2 パッケージでの修正も必要であり、この修正はこの次の安定版のポイントリリース (及びそれまでの当面は stable-proposed-updates で) 提供の予定です。

安定版 (stable) ディストリビューション (lenny) では、これらの問題はバージョン 1.0-2+lenny1 で修正されています。

不安定版 (unstable) ディストリビューション (sid) では、これらの問題はバージョン 1.2.2-1 で修正されています。

直ぐに xmltooling パッケージをアップグレードすることを勧めます。

修正:

Debian GNU/Linux 5.0 (lenny)

ソース:: http://security.debian.org/pool/updates/main/x/xmltooling/xmltooling_1.0-2+lenny1.dsc; http://security.debian.org/pool/updates/main/x/xmltooling/xmltooling_1.0-2+lenny1.diff.gz; http://security.debian.org/pool/updates/main/x/xmltooling/xmltooling_1.0.orig.tar.gz
アーキテクチャ非依存コンポーネント:: http://security.debian.org/pool/updates/main/x/xmltooling/xmltooling-schemas_1.0-2+lenny1_all.deb; http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling-doc_1.0-2+lenny1_all.deb
Alpha:: http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling-dev_1.0-2+lenny1_alpha.deb; http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling1_1.0-2+lenny1_alpha.deb
AMD64:: http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling1_1.0-2+lenny1_amd64.deb; http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling-dev_1.0-2+lenny1_amd64.deb
ARM:: http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling1_1.0-2+lenny1_arm.deb; http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling-dev_1.0-2+lenny1_arm.deb
ARM EABI:: http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling1_1.0-2+lenny1_armel.deb; http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling-dev_1.0-2+lenny1_armel.deb
HP Precision:: http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling1_1.0-2+lenny1_hppa.deb; http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling-dev_1.0-2+lenny1_hppa.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling-dev_1.0-2+lenny1_i386.deb; http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling1_1.0-2+lenny1_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling-dev_1.0-2+lenny1_ia64.deb; http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling1_1.0-2+lenny1_ia64.deb
Big-endian MIPS:: http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling1_1.0-2+lenny1_mips.deb; http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling-dev_1.0-2+lenny1_mips.deb
Little-endian MIPS:: http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling1_1.0-2+lenny1_mipsel.deb; http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling-dev_1.0-2+lenny1_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling-dev_1.0-2+lenny1_powerpc.deb; http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling1_1.0-2+lenny1_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling-dev_1.0-2+lenny1_s390.deb; http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling1_1.0-2+lenny1_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling-dev_1.0-2+lenny1_sparc.deb; http://security.debian.org/pool/updates/main/x/xmltooling/libxmltooling1_1.0-2+lenny1_sparc.deb

一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。