CVE-2016-2099
KrytyczneStreszczenie
Podatność typu use-after-free w Apache Xerces C++ 3.1.3 i wcześniejszych wersjach umożliwia atakującym, zależnie od kontekstu, wywołanie nieokreślonego wpływu poprzez wprowadzenie nieprawidłowego znaku w dokumencie XML.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do wprowadzenia złośliwego kodu lub zakłócenia działania aplikacji przetwarzającej dokumenty XML, co może prowadzić do utraty danych lub naruszenia integralności systemu.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Apache Xerces C++, aby usunąć tę podatność oraz przeprowadzenie audytu bezpieczeństwa aplikacji przetwarzających XML.
Inne podatności w Apache Xerces C++
Zobacz wszystkie- CVE-2012-0880Wysokie
Apache Xerces-C++ umożliwia zdalnym atakującym spowodowanie odmowy usługi (zużycie CPU) poprzez wysłanie spreparowanej wiadomości do usługi XML, co prowadzi do kolizji w tabeli haszującej.
- CVE-2016-4463Wysokie
W Apache Xerces-C++ przed wersją 3.1.4 występuje przepełnienie bufora na stosie, które może być wykorzystane przez atakujących w kontekście zależnym do spowodowania odmowy usługi poprzez głęboko zagnieżdżony DTD.
- CVE-2016-0729Krytyczne
Wielokrotne przepełnienia bufora w bibliotece parsera XML w Apache Xerces-C przed wersją 3.1.3 mogą umożliwić zdalnym atakującym spowodowanie awarii usługi (błąd segmentacji lub uszkodzenie pamięci) lub potencjalne wykonanie dowolnego kodu poprzez spreparowany dokument.
Oryginalny opis (angielski, źródło NVD)
Use-after-free vulnerability in validators/DTD/DTDScanner.cpp in Apache Xerces C++ 3.1.3 and earlier allows context-dependent attackers to have unspecified impact via an invalid character in an XML document.