L'analyseur XML Expat corrige une vulnérabilité critique de longue date : une bataille d'une décennie
Après deux ans et demi d'efforts, une vulnérabilité critique (CVE-2024-8176) dans l'analyseur XML Expat a enfin été corrigée. La vulnérabilité, résultant d'appels récursifs pouvant entraîner des dépassements de pile et des attaques par déni de service, a été résolue dans la version 2.7.0. Le mainteneur Sebastian Pipping, après avoir contacté de nombreuses entreprises pour obtenir de l'aide, a collaboré avec Siemens et d'autres pendant dix mois pour résoudre trois variantes du problème. La version inclut également d'autres améliorations, telles qu'un nouveau fuzzer et des binaires 64 bits pour Windows. Cette histoire rappelle les risques de sécurité cachés même dans les techniques de programmation apparemment simples, et l'importance de la collaboration de la communauté open source.
Lire plus