int(4209)

Boletines de Vulnerabilidades

Múltiples vulnerabilidades en libxml2

Clasificación de la vulnerabilidad
Propiedad Valor
Nivel de Confianza Oficial
Impacto Denegación de Servicio
Dificultad Experto
Requerimientos del atacante Acceso remoto sin cuenta a un servicio estandar

Información sobre el sistema
Propiedad Valor
Fabricante afectado GNU/Linux
Software afectado libxml2 < 2.7

Descripción
Se han descubierto múltiples vulnerabilidades en libxml2. Las vulnerabilidades son descritas a continuación:

- CVE-2003-1564: La vulnerabilidad reside en un error en la detección de la recurrencia durante la expansión de entidades XML. Un atacante remoto podría causar una denegación de servicio mediante un fichero XML con un gran número de referencias a entidades anidadas.

- CVE-2008-3529 : Se ha descubierto una vulnerabilidad de tipo desbordamiento de búfer. La vulnerabilidad reside en un error en la comprobación de límites en la función "xmlParseAttValueComplex". Un atacante remoto podría causar denegación de servicio mediante un nombre muy largo de una entidad XML.

Solución


Actualización de software

Red Hat (RHSA-2008:0884-3)
RHEL Desktop Workstation (v. 5 cliente)
Red Hat Desktop (v. 3)
Red Hat Desktop (v. 4)
Red Hat Enterprise Linux (v. 5 servidor)
Red Hat Enterprise Linux AS (v. 3)
Red Hat Enterprise Linux AS (v. 4)
Red Hat Enterprise Linux Desktop (v. 5 cliente)
Red Hat Enterprise Linux ES (v. 3)
Red Hat Enterprise Linux ES (v. 4)
Red Hat Enterprise Linux WS (v. 3)
Red Hat Enterprise Linux WS (v. 4)
https://rhn.redhat.com/

Red Hat (RHSA-2008:0886-2)
Red Hat Enterprise Linux AS (v. 2.1)
Red Hat Enterprise Linux ES (v. 2.1)
Red Hat Enterprise Linux WS (v. 2.1)
Red Hat Linux Advanced Workstation 2.1 para Itanium Processor
https://rhn.redhat.com/

Suse Linux
Las actualizaciones pueden descargarse mediante YAST o del servidor FTP oficial de Suse Linux.


Debian (DSA-1654-1)

Debian Linux 4.0
Source
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2_2.6.27.dfsg-5.diff.gz
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2_2.6.27.dfsg.orig.tar.gz
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2_2.6.27.dfsg-5.dsc
Arquitectura independiente:
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-doc_2.6.27.dfsg-5_all.deb
alpha (DEC Alpha)
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2_2.6.27.dfsg-5_alpha.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-utils_2.6.27.dfsg-5_alpha.deb
http://security.debian.org/pool/updates/main/libx/libxml2/python-libxml2_2.6.27.dfsg-5_alpha.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dev_2.6.27.dfsg-5_alpha.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dbg_2.6.27.dfsg-5_alpha.deb
amd64 (AMD x86_64 (AMD64))
http://security.debian.org/pool/updates/main/libx/libxml2/python-libxml2_2.6.27.dfsg-5_amd64.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-utils_2.6.27.dfsg-5_amd64.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2_2.6.27.dfsg-5_amd64.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dbg_2.6.27.dfsg-5_amd64.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dev_2.6.27.dfsg-5_amd64.deb
arm (ARM)
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2_2.6.27.dfsg-5_arm.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-utils_2.6.27.dfsg-5_arm.deb
http://security.debian.org/pool/updates/main/libx/libxml2/python-libxml2_2.6.27.dfsg-5_arm.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dbg_2.6.27.dfsg-5_arm.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dev_2.6.27.dfsg-5_arm.deb
hppa (HP PA RISC)
http://security.debian.org/pool/updates/main/libx/libxml2/python-libxml2_2.6.27.dfsg-5_hppa.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-utils_2.6.27.dfsg-5_hppa.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2_2.6.27.dfsg-5_hppa.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dev_2.6.27.dfsg-5_hppa.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dbg_2.6.27.dfsg-5_hppa.deb
i386 (Intel ia32)
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2_2.6.27.dfsg-5_i386.deb
http://security.debian.org/pool/updates/main/libx/libxml2/python-libxml2_2.6.27.dfsg-5_i386.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dev_2.6.27.dfsg-5_i386.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dbg_2.6.27.dfsg-5_i386.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-utils_2.6.27.dfsg-5_i386.deb
ia64 (Intel ia64)
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dev_2.6.27.dfsg-5_ia64.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dbg_2.6.27.dfsg-5_ia64.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2_2.6.27.dfsg-5_ia64.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-utils_2.6.27.dfsg-5_ia64.deb
http://security.debian.org/pool/updates/main/libx/libxml2/python-libxml2_2.6.27.dfsg-5_ia64.deb
mips (MIPS (Big Endian))
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-utils_2.6.27.dfsg-5_mips.deb
http://security.debian.org/pool/updates/main/libx/libxml2/python-libxml2_2.6.27.dfsg-5_mips.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dbg_2.6.27.dfsg-5_mips.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dev_2.6.27.dfsg-5_mips.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2_2.6.27.dfsg-5_mips.deb
mipsel (MIPS (Little Endian))
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-utils_2.6.27.dfsg-5_mipsel.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dbg_2.6.27.dfsg-5_mipsel.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2_2.6.27.dfsg-5_mipsel.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dev_2.6.27.dfsg-5_mipsel.deb
http://security.debian.org/pool/updates/main/libx/libxml2/python-libxml2_2.6.27.dfsg-5_mipsel.deb
powerpc (PowerPC)
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dbg_2.6.27.dfsg-5_powerpc.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dev_2.6.27.dfsg-5_powerpc.deb
http://security.debian.org/pool/updates/main/libx/libxml2/python-libxml2_2.6.27.dfsg-5_powerpc.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-utils_2.6.27.dfsg-5_powerpc.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2_2.6.27.dfsg-5_powerpc.deb
s390 (IBM S/390)
http://security.debian.org/pool/updates/main/libx/libxml2/python-libxml2_2.6.27.dfsg-5_s390.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dbg_2.6.27.dfsg-5_s390.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2_2.6.27.dfsg-5_s390.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-utils_2.6.27.dfsg-5_s390.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dev_2.6.27.dfsg-5_s390.deb
sparc (Sun SPARC/UltraSPARC)
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dbg_2.6.27.dfsg-5_sparc.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-dev_2.6.27.dfsg-5_sparc.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2_2.6.27.dfsg-5_sparc.deb
http://security.debian.org/pool/updates/main/libx/libxml2/libxml2-utils_2.6.27.dfsg-5_sparc.deb
http://security.debian.org/pool/updates/main/libx/libxml2/python-libxml2_2.6.27.dfsg-5_sparc.deb

Sun (247346)
Solaris 9 / SPARC / patch 114014-21 ó posterior
Solaris 10 / SPARC / patch 125731-03 ó posterior
Solaris 9 / x86 / patch 114015-21 ó posterior
Solaris 10 / x86 / patch 125732-03 ó posterior
OpenSolaris / build snv_101 ó posterior

Sun (261688)
SPARC
Sun Java System Access Manager 7.1 (for Solaris 8, 9 and 10) with patch 126356-03 o posterior
Sun Java System Access Manager 7 2005Q4 (for Solaris 8, 9 and 10) with patch 120954-10 o posterior
Sun Java System Access Manager 6 2005Q1 (for Solaris 8, 9 and 10) with patch 119466-17 o posterior
x86 Platform
Sun Java System Access Manager 7.1 (for Solaris 8, 9 and 10) with patch 126357-03 o posterior
Sun Java System Access Manager 7 2005Q4 (for Solaris 9 and 10) with patch 120955-10 o posterior
Sun Java System Access Manager 6 2005Q1 (for Solaris 8, 9 and 10) with patch 119467-17 o posterior
Linux
Sun Java System Access Manager 7.1 with patch 126358-03 o posterior
Sun Java System Access Manager 7 2005Q4 with patch 120956-10 o posterior
Sun Java System Access Manager 6 2005Q1 with patch 119502-17 o posterior
Windows
Sun Java System Access Manager 7.1 with patch 126359-03 o posterior
Sun Java System Access Manager 7 2005Q4 with patch 124296-10 o posterior
HP-UX
Sun Java System Access Manager 7 2005Q4 with patch 126371-10 o posterior
Other
OpenSSO Enterprise 8.0 Update1 (all supported platforms) with patch 141655-02 o posterior
Sun Java System Access Manager 7.1 WAR file-based installation (all supported platforms) with patch 140504-03 o posterior
http://sunsolve.sun.com/pub-cgi/show.pl?target=patchpage

Identificadores estándar
Propiedad Valor
CVE CVE-2003-1564
CVE-2008-3529
BID

Recursos adicionales
Red Hat Security Advisory (RHSA-2008:0886-2)
https://rhn.redhat.com/errata/RHSA-2008-0886.html

Red Hat Security Advisory (RHSA-2008:0884-3)
https://rhn.redhat.com/errata/RHSA-2008-0884.html

SUSE Security Advisory (SUSE-SR:2008:018)
http://www.novell.com/linux/security/advisories/2008_18_sr.html

Debian Security Advisory (DSA-1654-1)
http://lists.debian.org/debian-security-announce/2008/msg00246.html

Sun Alert Notification (247346)
http://sunsolve.sun.com/search/document.do?assetkey=1-66-247346-1

Sun Alert Notification (261688)
http://sunsolve.sun.com/search/document.do?assetkey=1-66-261688-1

Histórico de versiones
Versión Comentario Fecha
1.0 Aviso emitido 2008-09-18
1.1 Aviso emitido por Suse (SUSE-SR:2008:018) 2008-09-24
1.2 Aviso emitido por Debian (DSA-1654-1) 2008-10-15
1.3 Aviso emitido por Sun (247346) 2009-01-16
1.4 Aviso emitido por Sun (261688) 2009-08-10

Miembros de

CERT
FIRST
TF-CSIRT
EGC Group
UE
Red Nacional de SOC
Foro Nacional de Ciberseguridad
CSIRT.es
Ministerio de Defensa
CNI
CNI
CCN-CERT
CNI
CNI