Apr-util, Apaches Portable Runtime Utility
-bibliotek, används av
Apache 2.x, Subversion och andra applikationer. Två överbelastningssårbarheter
har hittats i apr-util:
kcope
upptäckte en brist i hanteringen av itnernat XML-entiteter i
apr_xml_*-gränssnittet som kan utnyttjas för att använda allt tillgängligt
minne. Denna överbelastning kan fjärrstartas i Apaches
mod_dav- och mod_dav_svn-moduler. (Inget CVE-id ännu)
Matthew Palmer upptäckte en underspillsbrist i apr_strmatch_precompile-funktionen com kan utnyttjas för att krascha servern. Sårbarheten kan startas (1) utifrån i mod_dav_svn för Apache om "SVNMasterURI"-direktivet används, (2) utifrån i mod_apreq2 för Apache eller andra applikationer som använder libapreq2 eller (3) lokalt i Apache med en specialskriven ".htaccess"-fil.
Det kan finnas andra sätt att uttnyttja detta problem i andra applikationer som använder apr-util.
Om ni använder Apache, eller om ni använder svnserve i fristående läge, behöver ni starta om tjänsterna efter att libaprutil1-paketet uppgraderats.
För den gamla stabila utgåvan (Etch) har dessa problem rättats i version 1.2.7+dfsg-2+etch2.
För den stabila utgåvan (Lenny) har dessa problem rättats i version 1.2.12+dfsg-8+lenny2.
För uttestningsutgåvan (Squeeze) och den instabila utgåvan (Sid) kommer dessa problem att rättas inom kort.
Vi rekommenderar att ni uppgraderar era apr-util-paket.
MD5-kontrollsummor för dessa filer finns i originalbulletinen.