CVE-2016-2099
xerces-c: Use-after-free in heap on specially crafted XML input
Sévérité par source
Le label propre à Trivy est CRITICAL. Critique selon NVD. Plus basse selon Red Hat (moyenne), Ubuntu (moyenne).
Description
Use-after-free vulnerability in validators/DTD/DTDScanner.cpp in Apache Xerces C++ 3.1.3 and earlier allows context-dependent attackers to have unspecified impact via an invalid character in an XML document.
Paquets affectés et versions corrigées
| Source | Paquet | Corrigé en |
|---|---|---|
| debian 11 | xerces-c | 3.1.3+debian-2 |
| debian 12 | xerces-c | 3.1.3+debian-2 |
| debian 13 | xerces-c | 3.1.3+debian-2 |
| debian 14 | xerces-c | 3.1.3+debian-2 |
| debian 7 | xerces-c | 3.1.1-3+deb7u3 |
| debian 8 | xerces-c | 3.1.1-5.1+deb8u2 |
| echo | xerces-c, xerces-c-2.6.0 | 3.1.3+debian-2 et 1 autres |
| Red Hat | xerces-c, xerces-c-devel, xerces-c-doc | pas de correctif indiqué |
| ubuntu 14.04 | xerces-c | 3.1.1-5.1+deb8u2build0.14.04.1 |
| ubuntu 14.04-ESM | xerces-c | 3.1.1-5.1+deb8u2build0.14.04.1 |
| ubuntu 15.10 | xerces-c | 3.1.1-5.1+deb8u2build0.15.10.1 |
| ubuntu 16.04-ESM | xerces-c | 3.1.3+debian-1ubuntu0.1~esm1 |
Afficher les 15 entrées de 12 sources
| Source | Paquet | Corrigé en |
|---|---|---|
| debian 11 | xerces-c | 3.1.3+debian-2 |
| debian 12 | xerces-c | 3.1.3+debian-2 |
| debian 13 | xerces-c | 3.1.3+debian-2 |
| debian 14 | xerces-c | 3.1.3+debian-2 |
| debian 7 | xerces-c | 3.1.1-3+deb7u3 |
| debian 8 | xerces-c | 3.1.1-5.1+deb8u2 |
| echo | xerces-c | 3.1.3+debian-2 |
| echo | xerces-c-2.6.0 | 2.6.0+e1 |
| Red Hat | xerces-c | pas de correctif indiqué |
| Red Hat | xerces-c-devel | pas de correctif indiqué |
| Red Hat | xerces-c-doc | pas de correctif indiqué |
| ubuntu 14.04 | xerces-c | 3.1.1-5.1+deb8u2build0.14.04.1 |
| ubuntu 14.04-ESM | xerces-c | 3.1.1-5.1+deb8u2build0.14.04.1 |
| ubuntu 15.10 | xerces-c | 3.1.1-5.1+deb8u2build0.15.10.1 |
| ubuntu 16.04-ESM | xerces-c | 3.1.3+debian-1ubuntu0.1~esm1 |
Références
- http://lists.opensuse.org/opensuse-updates/2016-07/msg00016.html
- http://lists.opensuse.org/opensuse-updates/2016-07/msg00053.html
- http://lists.opensuse.org/opensuse-updates/2016-09/msg00013.html
- http://www.debian.org/security/2016/dsa-3579
- http://www.openwall.com/lists/oss-security/2016/05/09/7
- http://www.oracle.com/technetwork/security-advisory/cpujul2018-4258247.html
- http://www.securityfocus.com/bid/90502
- https://access.redhat.com/security/cve/CVE-2016-2099