在 Expat（用于解析 XML 的 C 库）中发现两个相关问题。

- CVE-2012-6702 它在解决 CVE-2012-0876 时引入。
 Stefan Sorensen 发现使用 XML_Parse() 函数会植入随机数发生器，对于 rand() 调用生成重复的输出。

- CVE-2016-5300 它是 CVE-2012-0876 的不完整解决方案的产物。解析器不当植入了随机数发生器，进而允许攻击者通过含有特别构建的标识符的 XML 文件造成拒绝服务（CPU 消耗）。

您可能需要手动重新启动使用 expat 库的程序和服务。

检测

Debian DSA-3597-1：expat - 安全更新

high Nessus 插件 ID 91506

未找到变更日志