Shibboleth で使用している xmltooling パッケージに、複数の問題が発見されま した。
Chris Ries さんにより、細工された URL デコードの際にクラッシュ (そして任 意のコードの実行の可能性) に繋がる場合があることが発見されました。
Ian Young さんにより、証明署名に埋め込まれた NULL 文字が正しく処理されて おらず、PKIX 信用認証機構を用いている設定で偽装 (impersonation) 攻撃が可 能であることが発見されました。
SAML メタデータで、鍵の使用制限の制約が誤って無視されています。この問題は 大きなものではありませんが、Opensaml2 パッケージでの修正も必要であり、こ の修正はこの次の安定版のポイントリリース (及びそれまでの当面は stable-proposed-updates で) 提供の予定です。
安定版 (stable) ディストリビューション (lenny) では、これらの問題はバージ ョン 1.0-2+lenny1 で修正されています。
不安定版 (unstable) ディストリビューション (sid) では、これらの問題はバー ジョン 1.2.2-1 で修正されています。
直ぐに xmltooling パッケージをアップグレードすることを勧めます。
一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。