在 Expat (用於剖析 XML 的 C 程式庫) 中發現兩個相關問題。

CVE-2012-6702

此問題是在解決 CVE-2012-0876 時引入。Stefan S&oslash;rensen 發現使用 XML_Parse() 函式會植入亂數產生器，針對 rand() 呼叫產生重複的輸出。

CVE-2016-5300

這是 CVE-2012-0876 的不完整解決方案的產物。剖析器不當植入了亂數產生器，進而允許攻擊者透過含有特製識別碼的 XML 檔案造成拒絕服務 (CPU 消耗)。

您可能需要手動重新啟動使用 expat 程式庫的程式和服務。

針對 Debian 7「Wheezy」，這些問題已在 2.1.0-1+deb7u4 版本中修正。

建議您升級 expat 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-508-1：expat 安全性更新

high Nessus Plugin ID 91523

找不到變更記錄