GLSA-202402-11：libxml2：多個弱點

high Nessus Plugin ID 190354

語系：

說明

遠端主機受到 GLSA-202402-11 中所述的弱點影響 (libxml2：多個弱點)

- 在 libxml2 2.10.4 之前版本中，剖析某些無效的 XSD 配置會導致 NULL 指標解除參照，進而造成區段錯誤。此錯誤發生在 xmlschemas.c 的 xmlSchemaFixupComplexType 中。(CVE-2023-28484)

- 在 2.10.4 之前的 libxml2 中發現一個問題。雜湊特製的 XML 文件中的空 dict 字串時，dict.c 中的 xmlDictComputeFastKey 會產生不確定的值，進而導致各種邏輯和記憶體錯誤 (例如重複釋放)。發生此行為的原因是，系統嘗試使用空字串的第一個位元組，而且可能有任何值 (不只是 '\0' 值)。(CVE-2023-29469)

- libxml2 2.11.5 及之前版本有釋放後使用問題，該問題只有在特定記憶體配置失敗後才會發生。
此問題發生在 tree.c 的 xmlUnlinkNode 中。注意：供應商的立場是，我不認為這些問題嚴重到足以保證 CVE ID…因為攻擊者通常無法掌控記憶體配置何時失敗。(CVE-2023-45322)

- 在 2.11.7 之前以及 2.12.x 至 2.12.5 的 libxml2 中發現一個問題。在啟用 DTD 驗證和 XInclude 擴充的情況下使用 XML 讀取器介面時，處理特製 XML 文件可導致 xmlValidatePopElement 釋放後使用弱點。(CVE-2024-25062)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

所有 libxml2 使用者皆應升級至最新版本：

# emerge --sync # emerge --ask --oneshot --verbose>=dev-libs/libxml2-2.12.5 如果您目前無法更新至 libxml2-2.12，可以更新至最新的 2.11 版本：

# emerge --sync # emerge --ask --oneshot --verbose >=dev-libs/libxml2-2.11.7 =dev-libs/libxml2-2.11*