Debian セキュリティ勧告
DSA-2710-1 xml-security-c -- 複数の脆弱性
- 報告日時:
- 2013-06-18
- 影響を受けるパッケージ:
- xml-security-c
- 危険性:
- あり
- 参考セキュリティデータベース:
- Mitre の CVE 辞書: CVE-2013-2153, CVE-2013-2154, CVE-2013-2155, CVE-2013-2156.
- 詳細:
-
Context Information Security の James Forshaw さんが XML Digital Security の実装である xml-security-c に複数の脆弱性を発見しました。The Common Vulnerabilities and Exposures project は以下の問題を認識しています:
- CVE-2013-2153
Santuario-C++ ライブラリでの XML デジタル署名の実装が偽装問題に対して脆弱で、 任意の内容に対する既存の署名の再利用を攻撃者に許します。
- CVE-2013-2154
XML 署名参照処理コード内の不完全な XPointer 表現の処理にスタックオーバーフローがあり、 潜在的には任意のコードの実行につながります。
- CVE-2013-2155
HMAC ベースの XML 署名出力長処理にバグがあり、 特別に選択した入力の処理でサービス拒否を引き起こします。
- CVE-2013-2156
排他的な正規化と併せてオプションで利用する PrefixList 属性の処理にヒープオーバーフローがあり、 潜在的には任意のコードの実行を許します。
旧安定版 (oldstable) ディストリビューション (squeeze) では、この問題はバージョン 1.5.1-3+squeeze2 で修正されています。
安定版 (stable) ディストリビューション (wheezy) では、この問題はバージョン 1.6.1-5+deb7u1 で修正されています。
不安定版 (unstable) ディストリビューション (sid) では、この問題はバージョン 1.6.1-6 で修正されています。
直ちに xml-security-c パッケージをアップグレードすることを勧めます。
- CVE-2013-2153