saurabh2088/expat_2_1_0_cve-2024-28757Bibliothèque C pour l'analyse XML orientée flux, avec un accent sur l'analyse et la reproduction de la vulnérabilité CVE-2024-28757 dans Expat 2.1.0.
Expat, version 2.1.0
Ceci est Expat, une bibliothèque C pour analyser le XML, écrite par James Clark. Expat est un analyseur XML orienté flux. Cela signifie que vous enregistrez des gestionnaires auprès de l'analyseur avant de commencer l'analyse. Ces gestionnaires sont appelés lorsque l'analyseur découvre les structures associées dans le document en cours d'analyse. Une balise d'ouverture est un exemple du type de structures pour lequel vous pouvez enregistrer des gestionnaires.
Les utilisateurs de Windows devraient utiliser le paquet expat_win32bin, qui inclut à la fois des bibliothèques et des exécutables précompilés, et le code source pour les développeurs.
Expat est un logiciel libre. Vous pouvez le copier, distribuer et modifier selon les termes de la licence contenue dans le fichier COPYING distribué avec ce paquet. Cette licence est la même que la licence MIT/X Consortium.
Les versions d'Expat qui ont un numéro de version mineure impair (le nombre du milieu dans la version ci-dessus) sont des versions de développement et doivent être considérées comme des logiciels bêta. Les versions avec des numéros de version mineure pairs sont destinées à être des logiciels de qualité production.
Si vous construisez Expat à partir d'une extraction du dépôt CVS, vous devez exécuter un script qui génère le script configure en utilisant les outils GNU autoconf et libtool. Pour ce faire, vous devez avoir autoconf 2.58 ou plus récent. Exécutez le script comme ceci :
./buildconf.sh
Une fois cela fait, suivez les mêmes instructions que pour la construction à partir d'une distribution source.
Pour construire Expat à partir d'une distribution source, exécutez d'abord le script shell de configuration dans le répertoire de distribution de niveau supérieur :
./configure
Il existe de nombreuses options que vous pouvez fournir à configure (que vous pouvez découvrir en exécutant configure avec l'option --help). Mais celle qui est la plus intéressante est celle qui définit le répertoire d'installation. Par défaut, le script configure configure les choses pour installer libexpat dans /usr/local/lib, expat.h dans /usr/local/include et xmlwf dans /usr/local/bin. Si, par exemple, vous préférez installer dans /home/me/mystuff/lib, /home/me/mystuff/include et /home/me/mystuff/bin, vous pouvez en informer configure avec :
./configure --prefix=/home/me/mystuff
Une autre option intéressante est d'activer le support des entiers 64 bits pour les numéros de ligne et de colonne et l'index d'octets global :
./configure CPPFLAGS=-DXML_LARGE_SIZE
Cependant, une telle modification serait un changement cassant de l'ABI et n'est donc pas recommandée pour une utilisation générale - par exemple dans le cadre d'une distribution Linux - mais plutôt pour des constructions avec des exigences particulières.
Après avoir exécuté le script configure, la commande "make" construira les choses et "make install" les installera à leur emplacement approprié. Jetez un œil au "Makefile" pour connaître les options supplémentaires de "make". Notez que vous devez avoir la permission d'écriture dans les répertoires où les choses seront installées.
Si vous êtes intéressé par la construction d'Expat pour fournir des informations de document en encodage UTF-16 plutôt que l'UTF-8 par défaut, suivez ces instructions (après avoir exécuté "make distclean") :
1. Pour une sortie UTF-16 en unsigned short (et les chaînes de version/erreur en char), exécutez :
./configure CPPFLAGS=-DXML_UNICODE
Pour une sortie UTF-16 en wchar_t (incluant les chaînes de version/erreur), exécutez :
./configure CFLAGS="-g -O2 -fshort-wchar" \
CPPFLAGS=-DXML_UNICODE_WCHAR_T
2. Éditez le Makefile, en changeant :
LIBRARY = libexpat.la
en :
LIBRARY = libexpatw.la
(Notez le "w" supplémentaire dans le nom de la bibliothèque.)
3. Exécutez "make buildlib" (qui construit seulement la bibliothèque). Ou, pour économiser l'étape 2, exécutez "make buildlib LIBRARY=libexpatw.la".
4. Exécutez "make installlib" (qui installe seulement la bibliothèque). Ou, si l'étape 2 a été omise, exécutez "make installlib LIBRARY=libexpatw.la".
L'utilisation de DESTDIR ou INSTALL_ROOT est activée, avec INSTALL_ROOT étant la valeur par défaut pour DESTDIR, et le reste du fichier make utilisant uniquement DESTDIR. Cela fonctionne comme suit : $ make install DESTDIR=/path/to/image remplace le DESTDIR défini dans le makefile, tandis que les deux $ INSTALL_ROOT=/path/to/image make install $ make install INSTALL_ROOT=/path/to/image utilisent DESTDIR=$(INSTALL_ROOT), même si DESTDIR est finalement défini dans l'environnement, car la priorité de définition des variables est
Remarque : Ceci ne s'applique qu'à la bibliothèque Expat elle-même, la construction de versions UTF-16 de xmlwf et des tests n'est actuellement pas prise en charge.
Remarque pour les utilisateurs de Solaris : La commande "ar" se trouve généralement dans "/usr/ccs/bin", qui n'est pas dans le PATH par défaut. Vous devrez l'ajouter à votre chemin pour la commande "make", et probablement aussi passer à GNU make (le "make" trouvé dans /usr/ccs/bin ne semble pas fonctionner correctement -- apparemment il ne comprend pas les directives .PHONY). Si vous utilisez ksh ou bash, utilisez cette commande pour construire :
PATH=/usr/ccs/bin:$PATH make
Lorsque vous utilisez Expat avec un projet utilisant autoconf pour la configuration, vous pouvez utiliser la macro de sondage dans conftools/expat.m4 pour déterminer comment inclure Expat. Voir les commentaires en haut de ce fichier pour plus d'informations.
Un manuel de référence est disponible dans le fichier doc/reference.html de cette distribution.
La page d'accueil de ce projet est http://www.libexpat.org/. Il y a des liens pour vous connecter à la page de rapports de bogues. Si vous devez signaler un bogue sans avoir accès à un navigateur, vous pouvez également envoyer un rapport de bogue par courriel à [email protected].
Les discussions relatives à l'orientation du futur développement d'expat ont lieu sur [email protected]. Les archives de cette liste et d'autres listes liées à Expat peuvent être trouvées à :
http://mail.libexpat.org/mailman/listinfo/