Debian dla-4064:libxml2 - 安全性更新

high Nessus Plugin ID 216663

概要

遠端 Debian 主機上缺少一個或多個安全性更新。

說明

遠端 Debian 11 主機上安裝的多個套件受到 dla-4064 公告中提及的多個弱點影響。

------------------------------------------------------------------------- Debian LTS 公告 DLA-4064-1 [email protected] https://www.debian.org/lts/security/Tobias Frost 2025 年 2 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

套件:libxml2 版本:2.9.10+dfsg-6.7+deb11u6 CVE ID:CVE-2022-49043 CVE-2023-39615 CVE-2023-45322 CVE-2024-25062 CVE-2024-56171 CVE-2025-24928 CVE-2025-27113 Debian 錯誤:1051230 1053629 1063234 1094238 1098320 1098321 1098322

在 libxml2 (提供 XML 和 HTML 檔案讀取、修改和寫入支援的程式庫) 中發現數個弱點,這些弱點可能導致拒絕服務攻擊或其他意外行為。

CVE-2022-49043

libxml2 2.11.0 之前版本中 xinclude.c 的 xmlXIncludeAddNode 包含釋放後使用弱點。

CVE-2023-39615

据發現,libxml2 v2.11.0 中 /libxml2/SAX2.c 的 xmlSAX2StartElement() 函式包含超出邊界讀取弱點。此弱點允許攻擊者藉由提供特製的 XML 檔案來造成拒絕服務 (DoS)。注意:廠商的立場是,該產品不支援具有自訂回呼的舊型 SAX1 介面,即使沒有特製的輸入也會發生當機。

CVE-2023-45322

libxml2 2.11.5 及之前版本包含釋放後使用問題,該問題只有在特定記憶體配置失敗後才會發生。此問題發生在 tree.c 的 xmlUnlinkNode 中。注意:廠商不認為這些問題嚴重到足以列入 CVE ID ...
因為攻擊者通常無法控制記憶體配置失敗的時間。

CVE-2024-25062

在 2.11.7 之前以及 2.12.x 至 2.12.5 的 libxml2 中發現一個問題。在啟用 DTD 驗證和 XInclude 擴充的情況下使用 XML Reader 介面時,處理特製的 XML 文件可導致 xmlValidatePopElement 產生釋放後使用弱點。

CVE-2024-56171

在 libxml2 2.12.10 之前版本和 2.13.6 之前的 2.13.x 版本中,xmlschemas.c 的 xmlSchemaIDCFillNodeTables 和 xmlSchemaBubbleIDCNodeTables 包含釋放後使用弱點。若要利用此弱點,必須針對具有特定身分限制的 XML 結構描述驗證特製的 XML 文件,或者必須使用特製的 XML 結構描述。

CVE-2025-24928

在 libxml2 2.12.10 之前版本和 2.13.6 之前的 2.13.x 版本中,valid.c 的 xmlSnprintfElements 包含堆疊型緩衝區溢位弱點。若要利用此弱點,必須針對不受信任的文件或 DTD 進行 DTD 驗證。注意:此問題與 CVE-2017-9047 類似。

CVE-2025-27113

在 libxml2 2.12.10 之前版本和 2.13.6 之前的 2.13.x 版本中,pattern.c 的 xmlPatMatch 包含 NULL 指標解除參照弱點。

針對 Debian 11 Bullseye,這些問題已在 2.9.10+dfsg-6.7+deb11u6 版本中修復。

建議您升級 libxml2 套件。

如需有關 libxml2 安全性狀態的詳細資訊,請參閱其安全追蹤頁面:
https://security-tracker.debian.org/tracker/libxml2

有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊,請參閱:https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意,Nessus 並未測試這些問題,而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

升級 libxml2 套件。

另請參閱

https://security-tracker.debian.org/tracker/source-package/libxml2

https://security-tracker.debian.org/tracker/CVE-2017-9047

https://security-tracker.debian.org/tracker/CVE-2022-49043

https://security-tracker.debian.org/tracker/CVE-2023-39615

https://security-tracker.debian.org/tracker/CVE-2023-45322

https://security-tracker.debian.org/tracker/CVE-2024-25062

https://security-tracker.debian.org/tracker/CVE-2024-56171

https://security-tracker.debian.org/tracker/CVE-2025-24928

https://security-tracker.debian.org/tracker/CVE-2025-27113

https://packages.debian.org/source/bullseye/libxml2

Plugin 詳細資訊

嚴重性: High

ID: 216663

檔案名稱: debian_DLA-4064.nasl

版本: 1.3

類型: local

代理程式: unix

已發布: 2025/2/22

已更新: 2025/4/10

支援的感應器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus

風險資訊

VPR

風險因素: High

分數: 7.3

CVSS v2

風險因素: Medium

基本分數: 5

時間性分數: 3.9

媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P

CVSS 評分資料來源: CVE-2017-9047

CVSS v3

風險因素: High

基本分數: 7.5

時間性分數: 6.7

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

時間媒介: CVSS:3.0/E:P/RL:O/RC:C

CVSS 評分資料來源: CVE-2025-27113

弱點資訊

CPE: cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:python3-libxml2-dbg, p-cpe:/a:debian:debian_linux:python3-libxml2, p-cpe:/a:debian:debian_linux:libxml2-utils, p-cpe:/a:debian:debian_linux:libxml2-dev, p-cpe:/a:debian:debian_linux:libxml2, p-cpe:/a:debian:debian_linux:libxml2-doc

必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2025/2/22

弱點發布日期: 2017/5/18

參考資訊

CVE: CVE-2017-9047, CVE-2022-49043, CVE-2023-39615, CVE-2023-45322, CVE-2024-25062, CVE-2024-56171, CVE-2025-24928, CVE-2025-27113

IAVA: 2024-A-0067-S, 2025-A-0123-S