Bulletin d'alerte Debian

DSA-1861-1 libxml -- Plusieurs vulnérabilités

Date du rapport :

13 août 2009

Paquets concernés :

libxml

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2009-2416, CVE-2009-2414.

Plus de précisions :

Rauli Kaksonen, Tero Rontti et Jukka Taimisto ont découvert plusieurs vulnérabilités dans libxml, une bibliothèque pour l'analyse et le traitement de fichiers de données XML, qui peuvent conduire à des conditions de déni de service ou éventuellement l'exécution de code arbitraire dans une application utilisant la bibliothèque. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.

CVE-2009-2416
Un document XML avec des types d'attribut Notation ou Enumeration contrefaits pour l'occasion dans une définition DTD mène à l'utilisation de pointeurs vers des emplacements de mémoire qui ont déjà été libérés.
CVE-2009-2414
Des vérifications manquantes pour la profondeur des définitions de DTD ELEMENT lors de l'analyse de contenu fils peuvent conduire à une augmentation de pile importante à cause d'une boucle de fonction qui peut être déclenchée à l'aide d'un document XML contrefait.

Pour la distribution oldstable (Etch), ce problème a été corrigé dans la version 1.8.17-14+etch1.

Les distributions stable (Lenny), testing (Squeeze) et unstable (Sid) ne contiennent plus libxml, mais libxml2 pour laquelle la DSA-1859-1 a été publiée.

Nous vous recommandons de mettre à jour vos paquets libxml.

Corrigé dans :

Debian GNU/Linux 4.0 (etch)

Source :: http://security.debian.org/pool/updates/main/libx/libxml/libxml_1.8.17-14+etch1.diff.gz; http://security.debian.org/pool/updates/main/libx/libxml/libxml_1.8.17.orig.tar.gz; http://security.debian.org/pool/updates/main/libx/libxml/libxml_1.8.17-14+etch1.dsc
Alpha:: http://security.debian.org/pool/updates/main/libx/libxml/libxml-dev_1.8.17-14+etch1_alpha.deb; http://security.debian.org/pool/updates/main/libx/libxml/libxml1_1.8.17-14+etch1_alpha.deb
AMD64:: http://security.debian.org/pool/updates/main/libx/libxml/libxml1_1.8.17-14+etch1_amd64.deb; http://security.debian.org/pool/updates/main/libx/libxml/libxml-dev_1.8.17-14+etch1_amd64.deb
ARM:: http://security.debian.org/pool/updates/main/libx/libxml/libxml-dev_1.8.17-14+etch1_arm.deb; http://security.debian.org/pool/updates/main/libx/libxml/libxml1_1.8.17-14+etch1_arm.deb
HP Precision:: http://security.debian.org/pool/updates/main/libx/libxml/libxml-dev_1.8.17-14+etch1_hppa.deb; http://security.debian.org/pool/updates/main/libx/libxml/libxml1_1.8.17-14+etch1_hppa.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/libx/libxml/libxml1_1.8.17-14+etch1_i386.deb; http://security.debian.org/pool/updates/main/libx/libxml/libxml-dev_1.8.17-14+etch1_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/libx/libxml/libxml-dev_1.8.17-14+etch1_ia64.deb; http://security.debian.org/pool/updates/main/libx/libxml/libxml1_1.8.17-14+etch1_ia64.deb
Big-endian MIPS:: http://security.debian.org/pool/updates/main/libx/libxml/libxml-dev_1.8.17-14+etch1_mips.deb; http://security.debian.org/pool/updates/main/libx/libxml/libxml1_1.8.17-14+etch1_mips.deb
Little-endian MIPS:: http://security.debian.org/pool/updates/main/libx/libxml/libxml-dev_1.8.17-14+etch1_mipsel.deb; http://security.debian.org/pool/updates/main/libx/libxml/libxml1_1.8.17-14+etch1_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/libx/libxml/libxml1_1.8.17-14+etch1_powerpc.deb; http://security.debian.org/pool/updates/main/libx/libxml/libxml-dev_1.8.17-14+etch1_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/libx/libxml/libxml-dev_1.8.17-14+etch1_s390.deb; http://security.debian.org/pool/updates/main/libx/libxml/libxml1_1.8.17-14+etch1_s390.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.