p PatchFirst

CVE-2022-2309

CVE-2022-2309 · NULL Pointer Dereference in lxml/lxml

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

NULL Pointer Dereference allows attackers to cause a denial of service (or application crash). This only applies when lxml is used together with libxml2 2.9.10 through 2.9.14. libxml2 2.9.9 and earlier are not affected. It allows triggering crashes through forged input data, given a vulnerable code sequence in the application. The vulnerability is caused by the iterwalk function (also used by the canonicalize function). Such code shouldn't be in wide-spread use, given that parsing + iterwalk would usually be replaced with the more efficient iterparse function. However, an XML converter that serialises to C14N would also be vulnerable, for example, and there are legitimate use cases for this code sequence. If untrusted input is received (also remotely) and processed via iterwalk function, a crash can be triggered.

CVSS 5.3 · Moyenne · EPSS 2,4% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · python

Produits et versions concernés

  • lxml/lxml

    Versions du logiciel
    • ≥ unspecified, < 4.9.1: Concernée (custom)

    Mettez à jour vers 4.9.1

  • libxml2 Debian:12

    Versions du logiciel
    • 2.9.14+dfsg-1.2
    Plages de versions concernées
    • ECOSYSTEM: < 2.9.14+dfsg-1.3~deb12u1

    Mettez à jour vers 2.9.14+dfsg-1.3~deb12u1

  • libxml2 Debian:13

    Plages de versions concernées
    • ECOSYSTEM: < 2.9.14+dfsg-1.3

    Mettez à jour vers 2.9.14+dfsg-1.3

  • libxml2 Debian:14

    Plages de versions concernées
    • ECOSYSTEM: < 2.9.14+dfsg-1.3

    Mettez à jour vers 2.9.14+dfsg-1.3

  • lxml Debian:12

    Plages de versions concernées
    • ECOSYSTEM: < 4.9.1-1

    Mettez à jour vers 4.9.1-1

  • lxml Debian:13

    Plages de versions concernées
    • ECOSYSTEM: < 4.9.1-1

    Mettez à jour vers 4.9.1-1

  • lxml Debian:14

    Plages de versions concernées
    • ECOSYSTEM: < 4.9.1-1

    Mettez à jour vers 4.9.1-1

  • lxml PyPI

    Versions du logiciel
    • 1.3.2
    • 1.3.3
    • 1.3.4
    • 1.3.5
    • 1.3.6
    • 2.0
    • 2.0.10
    • 2.0.11
    • 2.0.4
    • 2.0.5
    • 2.0.6
    • 2.0.7
    • 2.0.8
    • 2.0.9
    • 2.1
    • 2.1.1
    • 2.1.2
    • 2.1.3
    • 2.1.4
    • 2.1.5
    • 2.2
    • 2.2.1
    • 2.2.2
    • 2.2.3
    • 2.2.4
    • 2.2.5
    • 2.2.6
    • 2.2.7
    • 2.2.8
    • 2.3
    • 2.3.1
    • 2.3.2
    • 2.3.3
    • 2.3.4
    • 2.3.5
    • 2.3.6
    • 3.0
    • 3.0.2
    • 3.1.0
    • 3.1.1
    • 3.1.2
    • 3.2.0
    • 3.2.1
    • 3.2.2
    • 3.2.3
    • 3.2.4
    • 3.2.5
    • 3.3.0
    • 3.3.1
    • 3.3.2
    • 3.3.3
    • 3.3.4
    • 3.3.5
    • 3.3.6
    • 3.4.0
    • 3.4.1
    • 3.4.2
    • 3.4.3
    • 3.4.4
    • 3.5.0
    • 3.6.0
    • 3.6.1
    • 3.6.2
    • 3.6.3
    • 3.6.4
    • 3.7.0
    • 3.7.1
    • 3.7.2
    • 3.7.3
    • 3.8.0
    • 4.0.0
    • 4.1.0
    • 4.1.1
    • 4.2.0
    • 4.2.1
    • 4.2.2
    • 4.2.3
    • 4.2.4
    • 4.2.5
    • 4.2.6
    • 4.3.0
    • 4.3.2
    • 4.3.3
    • 4.3.4
    • 4.3.5
    • 4.4.0
    • 4.4.1
    • 4.4.2
    • 4.4.3
    • 4.5.0
    • 4.5.1
    • 4.5.2
    • 4.6.0
    • 4.6.1
    • 4.6.2
    • 4.6.3
    • 4.6.4
    • 4.6.5
    • 4.7.1
    • 4.8.0
    • 4.9.0
    Plages de versions concernées
    • ECOSYSTEM: < 4.9.1

    Mettez à jour vers 4.9.1

  • lxml PyPI

    Versions du logiciel
    • 0.9
    • 0.9.1
    • 0.9.2
    • 1.0
    • 1.0.1
    • 1.0.2
    • 1.0.3
    • 1.0.4
    • 1.0.beta
    • 1.1
    • 1.1.1
    • 1.1.2
    • 1.1alpha
    • 1.1beta
    • 1.2
    • 1.2.1
    • 1.3
    • 1.3.1
    • 1.3.2
    • 1.3.3
    • 1.3.4
    • 1.3.5
    • 1.3.6
    • 1.3beta
    • 2.0
    • 2.0.1
    • 2.0.10
    • 2.0.11
    • 2.0.2
    • 2.0.3
    • 2.0.4
    • 2.0.5
    • 2.0.6
    • 2.0.7
    • 2.0.8
    • 2.0.9
    • 2.0alpha1
    • 2.0alpha2
    • 2.0alpha3
    • 2.0alpha4
    • 2.0alpha5
    • 2.0alpha6
    • 2.0beta1
    • 2.0beta2
    • 2.1
    • 2.1.1
    • 2.1.2
    • 2.1.3
    • 2.1.4
    • 2.1.5
    • 2.1alpha1
    • 2.1beta1
    • 2.1beta2
    • 2.1beta3
    • 2.2
    • 2.2.1
    • 2.2.2
    • 2.2.3
    • 2.2.4
    • 2.2.5
    • 2.2.6
    • 2.2.7
    • 2.2.8
    • 2.2alpha1
    • 2.2beta1
    • 2.2beta2
    • 2.2beta3
    • 2.2beta4
    • 2.3
    • 2.3.1
    • 2.3.2
    • 2.3.3
    • 2.3.4
    • 2.3.5
    • 2.3.6
    • 2.3alpha1
    • 2.3alpha2
    • 2.3beta1
    • 3.0
    • 3.0.1
    • 3.0.2
    • 3.1.0
    • 3.1.1
    • 3.1.2
    • 3.1beta1
    • 3.2.0
    • 3.2.1
    • 3.2.2
    • 3.2.3
    • 3.2.4
    • 3.2.5
    • 3.3.0
    • 3.3.0beta1
    • 3.3.0beta2
    • 3.3.0beta3
    • 3.3.0beta4
    • 3.3.0beta5
    • 3.3.1
    • 3.3.2
    • 3.3.3
    • 3.3.4
    • 3.3.5
    • 3.3.6
    • 3.4.0
    • 3.4.1
    • 3.4.2
    • 3.4.3
    • 3.4.4
    • 3.5.0
    • 3.5.0b1
    • 3.6.0
    • 3.6.1
    • 3.6.2
    • 3.6.3
    • 3.6.4
    • 3.7.0
    • 3.7.1
    • 3.7.2
    • 3.7.3
    • 3.8.0
    • 4.0.0
    • 4.1.0
    • 4.1.1
    • 4.2.0
    • 4.2.1
    • 4.2.2
    • 4.2.3
    • 4.2.4
    • 4.2.5
    • 4.2.6
    • 4.3.0
    • 4.3.1
    • 4.3.2
    • 4.3.3
    • 4.3.4
    • 4.3.5
    • 4.4.0
    • 4.4.1
    • 4.4.2
    • 4.4.3
    • 4.5.0
    • 4.5.1
    • 4.5.2
    • 4.6.0
    • 4.6.1
    • 4.6.2
    • 4.6.3
    • 4.6.4
    • 4.6.5
    • 4.7.0
    • 4.7.1
    • 4.8.0
    • 4.9.0
    Plages de versions concernées
    • GIT: < 86368e9cf70a0ad23cccd5ee32de847149af0c6f
    • ECOSYSTEM: < 4.9.1

    Mettez à jour vers 4.9.1

  • lxml Ubuntu:Pro:14.04:LTS

    Versions du logiciel
    • 3.2.0-1
    • 3.3.0~beta2-1
    • 3.3.0~beta4-1
    • 3.3.1-1
    • 3.3.2-1
    • 3.3.2-1build1
    • 3.3.3-1
    • 3.3.3-1ubuntu0.1
    • 3.3.3-1ubuntu0.2
    • 3.3.3-1ubuntu0.2+esm1
    • 3.3.3-1ubuntu0.2+esm2
    • 3.3.3-1ubuntu0.2+esm3
    • 3.3.3-1ubuntu0.2+esm5
    • 3.3.3-1ubuntu0.2+esm6
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • lxml Ubuntu:Pro:16.04:LTS

    Versions du logiciel
    • 3.4.4-1
    • 3.5.0-1
    • 3.5.0-1build1
    • 3.5.0-1ubuntu0.1
    • 3.5.0-1ubuntu0.2
    • 3.5.0-1ubuntu0.3
    • 3.5.0-1ubuntu0.4
    • 3.5.0-1ubuntu0.4+esm2
    • 3.5.0-1ubuntu0.4+esm3
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • lxml Ubuntu:Pro:18.04:LTS

    Versions du logiciel
    • 4.0.0-1
    • 4.1.0-1
    • 4.2.0-1
    • 4.2.1-1
    • 4.2.1-1ubuntu0.1
    • 4.2.1-1ubuntu0.2
    • 4.2.1-1ubuntu0.3
    • 4.2.1-1ubuntu0.4
    • 4.2.1-1ubuntu0.6
    • 4.2.1-1ubuntu0.6+esm1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • libxml2 Ubuntu:20.04:LTS

    Versions du logiciel
    • 2.9.4+dfsg1-7ubuntu3
    • 2.9.4+dfsg1-7ubuntu5
    • 2.9.4+dfsg1-8ubuntu1
    • 2.9.4+dfsg1-8ubuntu2
    • 2.9.4+dfsg1-8ubuntu3
    • 2.9.10+dfsg-1ubuntu3
    • 2.9.10+dfsg-4build1
    • 2.9.10+dfsg-5
    • 2.9.10+dfsg-5ubuntu0.20.04.1
    • 2.9.10+dfsg-5ubuntu0.20.04.2
    • 2.9.10+dfsg-5ubuntu0.20.04.3
    • 2.9.10+dfsg-5ubuntu0.20.04.4
    Plages de versions concernées
    • ECOSYSTEM: < 2.9.10+dfsg-5ubuntu0.20.04.5

    Mettez à jour vers 2.9.10+dfsg-5ubuntu0.20.04.5

  • lxml Ubuntu:Pro:20.04:LTS

    Versions du logiciel
    • 4.4.1-1
    • 4.4.1-1build1
    • 4.4.2-1
    • 4.5.0-1
    • 4.5.0-1ubuntu0.1
    • 4.5.0-1ubuntu0.2
    • 4.5.0-1ubuntu0.3
    • 4.5.0-1ubuntu0.5
    • 4.5.0-1ubuntu0.5+esm1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • libxml2 Ubuntu:22.04:LTS

    Versions du logiciel
    • 2.9.12+dfsg-4
    • 2.9.12+dfsg-5
    • 2.9.12+dfsg-6
    • 2.9.13+dfsg-1
    • 2.9.13+dfsg-1build1
    • 2.9.13+dfsg-1ubuntu0.1
    Plages de versions concernées
    • ECOSYSTEM: < 2.9.13+dfsg-1ubuntu0.2

    Mettez à jour vers 2.9.13+dfsg-1ubuntu0.2

  • lxml Ubuntu:22.04:LTS

    Versions du logiciel
    • 4.6.3+dfsg-0.1
    • 4.6.4-1
    • 4.6.4-1ubuntu1
    • 4.7.1-1
    • 4.8.0-1
    • 4.8.0-1build1
    • 4.8.0-1ubuntu0.1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →