CVE-2016-4463
WysokieStreszczenie
W Apache Xerces-C++ przed wersją 3.1.4 występuje przepełnienie bufora na stosie, które może być wykorzystane przez atakujących w kontekście zależnym do spowodowania odmowy usługi poprzez głęboko zagnieżdżony DTD.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zakłócenia działania aplikacji, co może prowadzić do przestojów w usługach.
Rekomendacja
Zaleca się aktualizację Apache Xerces-C++ do wersji 3.1.4 lub nowszej, aby usunąć tę podatność.
Inne podatności w Apache Xerces-C++
Zobacz wszystkie- CVE-2012-0880Wysokie
Apache Xerces-C++ umożliwia zdalnym atakującym spowodowanie odmowy usługi (zużycie CPU) poprzez wysłanie spreparowanej wiadomości do usługi XML, co prowadzi do kolizji w tabeli haszującej.
- CVE-2016-2099Krytyczne
Podatność typu use-after-free w Apache Xerces C++ 3.1.3 i wcześniejszych wersjach umożliwia atakującym, zależnie od kontekstu, wywołanie nieokreślonego wpływu poprzez wprowadzenie nieprawidłowego znaku w dokumencie XML.
- CVE-2016-0729Krytyczne
Wielokrotne przepełnienia bufora w bibliotece parsera XML w Apache Xerces-C przed wersją 3.1.3 mogą umożliwić zdalnym atakującym spowodowanie awarii usługi (błąd segmentacji lub uszkodzenie pamięci) lub potencjalne wykonanie dowolnego kodu poprzez spreparowany dokument.
Oryginalny opis (angielski, źródło NVD)
Stack-based buffer overflow in Apache Xerces-C++ before 3.1.4 allows context-dependent attackers to cause a denial of service via a deeply nested DTD.