遠端 Debian 9 主機上安裝的多個套件受到 dla-2972 公告中提及的多個弱點影響。

    在 libxml2：XML C 剖析器和工具組中發現五個安全性問題。CVE-2016-9318 容易遭受攻擊的版本未提供直接指示「可讀取目前文件，但其他檔案可能不會開啟」的標記，進而導致遠端攻擊者更容易透過建構的文件發動 XML 外部實體 (XXE) 攻擊。CVE-2017-5130 記憶體除錯程式碼中存在有整數溢位弱點，遠端攻擊者可能利用此弱點，透過特別建構的 PDF 檔案造成堆積損毀。CVE-2017-5969 復原模式中的剖析器可允許遠端攻擊者透過建構的 XML 文件造成拒絕服務 (NULL 指標解除參照)。
    CVE-2017-16932 在 DTD 中展開參數實體時，無限遞迴可導致無限迴圈或記憶體耗盡。CVE-2022-23308 在已啟用 XML_PARSE_DTDATTR 和 XML_PARSE_DTDVALID 的情況下，使用 xmlTextReaderRead() 驗證 XML 的應用程式容易受到此釋放後使用錯誤影響。此問題可能導致拒絕服務。針對 Debian 9 Stretch，已在 2.9.4+dfsg1-2.2+deb9u6 版本中修正這些問題。建議您升級 libxml2 套件。有關 libxml2 安全性狀態的詳細資訊，請參閱其安全性追蹤頁面：https://security-tracker.debian.org/tracker/libxml2 有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Wei Lei 發現 libxml2 未正確處理某些參數實體。攻擊者可利用此問題搭配特製的　XML 資料造成 libxml2 耗盡資源，進而導致拒絕服務。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

根據其版本判斷，遠端主機上執行的 ClamAV clamd 防毒程序版本比 0.100.1 舊。因此，會受到多個弱點影響。

CVE-2017-16931 在 2.9.5 之前的 libxml2 中，parser.c 未正確處理參數與實體間的參照，這是因為 NEXTL 巨集在 DTD 名稱中呼叫「%」字元內的 xmlParserHandlePEReference 函式。CVE-2017-16932 在 2.9.5 之前的 libxml2 中，parser.c 未防止參數實體中的無限遞迴。針對 Debian 7「Wheezy」，這些問題已在 2.8.0+dfsg1-7+wheezy11 版本中修正。我們建議您升級 libxml2 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

根據其自我報告的版本號碼，遠端主機上執行的 Nessus Network Monitor 低於 6.2.2 版。因此，會受到 TNS-2023-23 公告中所提及的多個弱點影響。由於發現多個第三方元件中存在弱點，廠商已提供更新版。出於慎重和符合良好實務，Tenable 選擇升級這些元件，以解決這些問題的潛在影響。Nessus Network Monitor 6.2.2 更新了下列元件：

  - 1.10.0 版到 1.19.1 版的 c-ares。
  - 7.79.1 版到 8.1.2 版的 curl。
  - 1.0.6 版到 1.0.8 版的 libbzip2。
  - 8.42 版到 8.44 版的 libpcre。
  - 2.7.7 版到 2.11.1 版的 libxml2。
  - 1.1.26 版到 1.1.37 版的 libxslt。
  - 1.2.18 版到 1.2.37 版的 libxmlsec。
  - 3.27.2 版到 3.40.1 版的 sqlite。
  - 1.3.1 版到 1.4.1 版的 jQuery Cookie。
  - 1.13.0 版到 1.13.2 版的 jQuery UI。
  - 3.0.8 版到 3.0.9 版的 OpenSSL。

遠端 Ubuntu 14.04 LTS/16.04 LTS/18.04 LTS 主機上安裝的套件受到 USN-3739-1 公告中所提及的多個弱點影響。

  - 在 XMLSec 1.2.23 和更舊版本以及其他產品中使用的 libxml2 2.9.4 和更舊版本未提供直接指示「可讀取目前文件，但其他檔案可能不會開啟」的標記，進而導致遠端攻擊者更容易透過建構的文件發動 XML 外部實體 (XXE) 攻擊。
    (CVE-2016-9318)

  - 在 libxml2 2.9.5 之前版本中，parser.c 不會防止參數實體中的無限遞迴。
    (CVE-2017-16932)

  - 在 libxml2 2.9.6 之前版本中，遠端攻擊者可利用 xzlib.c 的 xz_head 函式，透過特別建構的 LZMA 檔案造成拒絕服務 (記憶體消耗)，這是解碼器功能未根據合法檔案限制記憶體使用所致。(CVE-2017-18258)

  - 在libxml2 2.9.8 及之前版本中， xpath.c:xmlXPathCompOpEval() 函式在解析 XPATH_OP_AND or XPATH_OP_OR 使用案例中的無效 XPath 運算式時，存在 NULL 指標解除參照弱點。
    使用 libxml2 程式庫處理未受信任之 XSL 格式輸入的應用程式，可能會因為應用程式損毀而容易受到拒絕服務攻擊。(CVE-2018-14404)

  - 如果使用 --with-lzma，則遠端攻擊者可利用 libxml2 2.9.8，透過能夠觸發 LZMA_MEMLIMIT_ERROR 的特別建構 XML 檔案造成拒絕服務 (無限迴圈)，xmllint 即為一例，此弱點不同於 CVE-2015-8035 和 CVE-2018-9251。(CVE-2018-14567)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 libxml2 2.9.5 之前版本中，parser.c 不會防止參數實體中的無限遞迴。
    (CVE-2017-16932)

請注意，Nessus 依賴供應商報告的套件存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
159615	Debian DLA-2972-1：libxml2 - LTS 安全性更新	Nessus	Debian Local Security Checks	2022/4/9	2025/1/24	high
105037	Ubuntu 14.04 LTS / 16.04 LTS：libxml2 弱點 (USN-3504-1)	Nessus	Ubuntu Local Security Checks	2017/12/6	2024/8/27	high
111517	ClamAV < 0.100.1 Multiple Vulnerabilities	Nessus	Misc.	2018/8/3	2023/8/24	high
104936	Debian DLA-1194-1：libxml2 安全性更新	Nessus	Debian Local Security Checks	2017/12/1	2021/1/11	critical
177842	Nessus Network Monitor < 6.2.2 多個弱點 (TNS-2023-23)	Nessus	Misc.	2023/6/30	2023/7/6	critical
183608	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS：libxml2 弱點 (USN-3739-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2025/9/3	medium
221114	Linux Distros 未修補弱點：CVE-2017-16932	Nessus	Misc.	2025/3/4	2025/9/14	high

偵測

搜尋 Plugin

high

high

high

critical

critical

medium

high