更新后的 json-c 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

JSON-C 实现了一个引用计数对象模型，可使您以 C 语言轻松构造 JSON 对象、将其以 JSON 格式的字符串进行输出并将 JSON 格式的字符串解析回 JSON 对象的 C 表示。

在 json-c 库处理 JSON 文档中的长字符串的方式中发现多个缓冲区溢出缺陷。能够令使用 json-c 的应用程序解析过大的 JSON 输入的攻击者可以造成该应用程序崩溃。(CVE-2013-6370)

在 json-c 的哈希数组实现中发现拒绝服务缺陷。攻击者可利用此缺陷，通过提供能够触发多个哈希函数冲突的特别构建的 JSON 文档，令使用 json-c 的应用程序消耗过多 CPU 时间。为缓解此问题，json-c 现在使用不同的哈希函数和随机化以降低攻击者成功造成蓄意冲突的几率。(CVE-2013-6371)

这些问题由 Red Hat 产品安全团队的 Florian Weimer 发现。

建议所有 json-c 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

检测

RHEL 7：json-c (RHSA-2014:0703)

medium Nessus 插件 ID 76898

未找到变更日志