S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 12 mai 2004 No CERTA-2004-AVI-051-004

Affaire suivie par :

CERTA

Objet : Vulnérabilité de la bibliothèque libxml2

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

2 Systèmes affectés

3 Résumé

4 Description

Lorsque la bibliothèque libxml2 analyse des données depuis une ressource distante via FTP ou HTTP, elle utilise des routines spécifiques pour traiter les données.

Si une URL très longue est utilisée, il est possible de provoquer un débordement de mémoire. Cette vulnérabilité peut être exploitée par un utilisateur distant mal intentionné pour exécuter du code arbitraire sur le système vulnérable.

5 Solution

6 Documentation

• Avis de sécurité RedHat RHSA-2004:090-06 :

  http://rhn.redhat.com/errata/RHSA-2004-090.html
  

• Avis de sécurité RedHat RHSA-2004:091-07 :

  http://rhn.redhat.com/errata/RHSA-2004-091.html
  

• Avis de sécurité Debian DSA 455-1 :

  http://www.debian.org/security/2004/dsa-455
  

• Avis de sécurité Mandrake MDKSA-2004:018 :

  http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2004:018
  

• Avis de sécurité Gentoo GLSA 200403-01 :

  http://lists.netsys.com/pipermail/full-disclosure/2004-March/018344.html
  

• Avis de sécurité FreeBSD du 25 février 2004 :

  http://www.vuxml.org/freebsd/
  

• Mise à jour de sécurité du paquetage NetBSD libxml2 :

  ftp://ftp.netbsd.org/pub/NetBSD/packages/distfiles/vulnerabilities
  

• Référence CVE CAN-2004-0110 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0110
  

Gestion détaillée du document

27 février 2004

version initiale.

03 mars 2004

corrections et mises à jour des références aux bulletins de sécurité RedHat.

04 mars 2004

ajout des références aux bulletins de sécurité Debian et Mandrake.

08 mars 2004

ajout de la référence au bulletin de sécurité Gentoo.

12 mai 2004

ajout références aux bulletins de sécurité FreeBSD et NetBSD.