CVE-2009-2473 neon，gnome-vfs2 嵌入式 neon：billion laughs DoS 攻击

CVE-2009-2474 neon：未正确验证某些字段中包含空 (0) 字节的 x509v3 证书

发现 neon 受到之前发布的“null 前缀攻击”的影响，后者是由对 X.509 证书中的空字符的不当处理导致的。如果攻击者能够获得由受信任的颁发机构签名的、精心构建的证书，则攻击者可在中间人攻击期间利用此证书并可能迷惑使用 neon 库的应用程序错误地接受该证书。(CVE-2009-2474)

发现 neon 可扩展标记语言 (XML) 解析器存在拒绝服务缺陷。远程攻击者（恶意 DAV 服务器）可提供特别构建的 XML 文档，如果使用 neon XML 解析器的应用程序受到诱骗处理该文档，会导致消耗过量内存和 CPU。(CVE-2009-2473)

必须重新启动使用 neon HTTP 和 WebDAV 客户端库的应用程序（例如 cadaver）才能使更新生效。

检测

Scientific Linux 安全更新：SL4.x、SL5.x i386/x86_64 中的 neon

medium Nessus 插件 ID 60667

未找到变更日志