聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士团队
数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。
随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。
为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。
注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。
IBM 更新数据管理平台Db2，保护用户免受第三方库 Expat 老旧版本中的两个严重漏洞。这两个漏洞的评分均为9.8，均可使攻击者利用整数溢出漏洞在易受攻击系统上执行任意代码。
这两个漏洞是位于 Expat XML_GetBuffer 函数中的CVE-2022-23852和位于 doProlog 函数中的CVE-2022-23990。
NetApp 发布安全公告指出，这两个漏洞如遭利用，“可导致敏感信息遭泄露、数据被添加或修改、拒绝服务等”。NetApp 正在发布修复方案，修复自家的多款易受攻击产品。
IBM Db2 仅仅是 Expat (libexpat) 中的众多企业产品之一。Expat 是解析XML 的C语言库，“在处理无法适合RAM的过大文件方面以及要求性能和灵活性的文件方面尤为出色”。
Expat 的维护人员在2022年1月30日发布的2.4.4版本中修复了这些缺陷。它们影响 Db2 版本 9.7.x、10.1.x、10.5.x 和 11.1.x。
IBM 建议运行易受攻击小版本的客户下载对应的包含临时修复方案的特殊 build。IBM 在4月20日发布安全通告指出，“可根据每个受影响发布的小版本层级来查找特殊 build：V9.7 FP11, V10.1 FP6, V10.5 FP11, and V11.1.4 FP6”。
Expat 也促使Oracle Communications MetaSolv Solution 和 Red Hat Enterprise Linux 推出更新。
Pulse Secure 也安排了在多款产品中解决这些漏洞的发布，包括 Pulse Desktop Client、Pulse Connect Secure和Ivanti Connect Secure，目前仍在调查某些其它产品是否易受攻击。
另外其它组织机构也发布相关安全公告，如 Linux 发行版本Ubuntu、思科8000系列视频监控摄像头、Dell EMC VxRail 超融合（存储）设备。
https://portswigger.net/daily-swig/ibm-database-updates-address-critical-vulnerabilities-in-third-party-xml-parser
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~
原文始发于微信公众号（代码卫士）：第三方XML解析器Expat有多个严重漏洞，IBM、Linux等纷纷打补丁
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论