Bulletin d'alerte Debian

DSA-3243-1 libxml-libxml-perl -- Mise à jour de sécurité

Date du rapport :

1^er mai 2015

Paquets concernés :

libxml-libxml-perl

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 783443.
Dans le dictionnaire CVE du Mitre : CVE-2015-3451.

Plus de précisions :

Tilmann Haak de xing.com a découvert que XML::LibXML, une interface Perl pour la bibliothèque libxml2, ne respectait pas le paramètre expand_entities pour désactiver le traitement des entités externes dans certaines circonstances. Cela pouvait permettre aux attaquants d'obtenir un accès en lecture aux ressources autrement protégées, en fonction de la façon dont la bibliothèque était utilisée.

Pour la distribution oldstable (Wheezy), ce problème a été corrigé dans la version 2.0001+dfsg-1+deb7u1.

Pour la distribution stable (Jessie), ce problème a été corrigé dans la version 2.0116+dfsg-1+deb8u1.

Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 2.0116+dfsg-2.

Nous vous recommandons de mettre à jour vos paquets libxml-libxml-perl.