Bulletin d'alerte Debian
DSA-2895-1 prosody -- Mise à jour de sécurité
- Date du rapport :
- 6 avril 2014
- Paquets concernés :
- prosody
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Aucune référence à une base de données externe en rapport avec la sécurité n'est actuellement disponible.
- Plus de précisions :
-
Une vulnérabilité de déni de service a été signalée dans Prosody, un serveur XMPP. Si la compression est activée, un attaquant peut envoyer des éléments XML fortement compressés (attaque connue sous le nom de
bombe zip
) sur des flux XMPP et consommer toutes les ressources du serveur.L'analyseur SAX XML lua-expat est aussi affecté par ce problème.
Pour la distribution stable (Wheezy), ce problème a été corrigé dans la version 0.8.2-4+deb7u1 de prosody.
Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 0.9.4-1 de prosody.
Pour la distribution stable (Wheezy), ce problème a été corrigé dans la version 1.2.0-5+deb7u1 de lua-expat.
Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 1.3.0-1 lua-expat.
Nous vous recommandons de mettre à jour vos paquets prosody et lua-expat.