JVNDB-2015-006438

libxml2 の parser.c の xmlParseXMLDecl 関数における重要な情報を取得される脆弱性

libxml2 の parser.c の xmlParseXMLDecl 関数には、重要な情報を取得される脆弱性が存在します。

Canonical

• Ubuntu 15.10
• Ubuntu 15.04
• Ubuntu 14.04 LTS
• Ubuntu 12.04 LTS

xmlsoft.org

• libxml2 2.9.3 未満

レッドハット

• Red Hat Enterprise Linux Desktop (v. 6)
• Red Hat Enterprise Linux HPC Node (v. 6)
• Red Hat Enterprise Linux Server (v. 6)
• Red Hat Enterprise Linux Server EUS (v. 6.7.z)
• Red Hat Enterprise Linux Workstation (v. 6)

攻撃者により、(1) 終端のないエンコーディング値、または (2) XML データの不完全な XML 宣言を介して、out-of-bounds heap read を誘発されることで、重要な情報を取得される可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Canonical

• Ubuntu Security Notice : USN-2834-1

GNOME Project

• GNOME Bugzilla : Bug 751603
• GNOME Bugzilla : Bug 751631
• GNOME GIT REPOSITORY : Do not process encoding values if the declaration if broken
• GNOME GIT REPOSITORY : Fail parsing early on if encoding conversion failed

ターボリナックス

• Turbolinux Security Advisory : TLSA-2016-3

レッドハット

• Red Hat Bugzilla : Bug 1281930
• Red Hat Security Advisory : RHSA-2015:2549

1. バッファエラー(CWE-119) [NVD評価]

1. CVE-2015-8317

1. National Vulnerability Database (NVD) : CVE-2015-8317

• [2015年12月18日]
    掲載
  [2016年02月02日]
    ベンダ情報：ターボリナックス (TLSA-2016-3) を追加