此 libxml 更新不會再使用已經釋放的指標。(CVE-2009-2416) 此外，也已修正剖析 root XML 文件時發生的一個堆疊型緩衝區溢位問題。(CVE-2009-2414)

CVE-2009-2414 libxml、libxml2、mingw32-libxml2：剖析 root XML 元素 DTD 定義時引發的堆疊溢位

CVE-2009-2416 libxml、libxml2、mingw32-libxml2：剖析標記與列舉屬性類型時引發的指標釋放後使用瑕疵

在 libxml 處理 DTD 內 root XML 文件元素定義的方式中發現一個堆疊溢位瑕疵。遠端攻擊者可提供特製的 XML 檔案，一旦不知情的本機使用者開啟，便會導致拒絕服務 (應用程式損毀)。(CVE-2009-2414)

在 libxml 剖析「標記」與「列舉」屬性類型的方式中發現多個釋放後使用瑕疵。遠端攻擊者可提供特製的 XML 檔案，一旦不知情的本機使用者開啟該檔案，便會導致拒絕服務 (應用程式損毀)。(CVE-2009-2416)

桌面必須重新啟動 (登出後再接著重新登入)，此更新才能生效。

遠端 OracleVM 系統缺少可解決重要安全性更新的必要修補程式：

- 將 bug347316.patch 從上游版本新增至 bug#347316 的反向移植修正

- 在 tarball 中新增 libxml2-enterprise.patch 並更新標誌

- 修正多個當機問題 (CVE-2009-2414、CVE-2009-2416)

- 解決：rhbz#515236

- 適用於大小溢位問題的兩個修補程式 (CVE-2008-4225、CVE-2008-4226)

- 解決：rhbz#470474

- 修正實體名稱複製緩衝區溢位的修補程式 (CVE-2008-3529)

- 解決：rhbz#461023

- 更好的 (CVE-2008-3281) 修正

- 解決：rhbz#458095

- 變更因 ABI 問題所導致之 CVE-2008-3281 的修補程式

- 解決：rhbz#458095

- 修正遞迴實體處理的修補程式 (CVE-2008-3281)

- 解決：rhbz#458095

- 修正 UTF-8 解碼問題的修補程式 (CVE-2007-6284)

- 解決：rhbz#425933

遠端主機上安裝的 Google Chrome 版本比 2.0.172.43 舊。據報這些版本受到多個問題的影響：

  - A flaw in the V8 JavaScript engine might allow a specially crafted JavaScript page to access unauthorized data in memory or to execute arbitrary code within the Google Chrome sandbox. (CVE-2009-2935)

  - The browser can connect to SSL-enabled sites whose certificates use weak hash algorithms, such as MD2 and MD4. An attacker may be able exploit this issue to forge certificates and spoof an invalid website as a valid HTTPS site. (問題 #18725)

  - A stack consumption vulnerability in libxml2 library could be exploited to crash the Google Chrome tab process or execute arbitrary code with in Google Chrome sandbox.
    (CVE-2009-2414)

  - Multiple use-after-free vulnerabilities in libxml2 library could be exploited to crash the Google Chrome tab process or execute arbitrary code with in Google Chrome sandbox. (CVE-2009-2416)

來自 Red Hat 安全性公告 2009:1206：

現已提供適用於 Red Hat Enterprise Linux 3、4 和 5 的更新版 libxml 和 libxml2 套件，可修正多個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。

libxml 是用於剖析和操控 XML 檔案的程式庫。文件類型定義 (DTD) 定義如 XML 檔案等特定類型檔案的合法語法 (以及可使用的元素)。

在 libxml 處理 DTD 內 root XML 文件元素定義的方式中發現一個堆疊溢位瑕疵。遠端攻擊者可提供特製的 XML 檔案，一旦不知情的本機使用者開啟，便會導致拒絕服務 (應用程式損毀)。(CVE-2009-2414)

在 libxml 剖析「標記」與「列舉」屬性類型的方式中發現多個釋放後使用瑕疵。遠端攻擊者可提供特製的 XML 檔案，一旦不知情的本機使用者開啟，便會導致拒絕服務 (應用程式損毀)。(CVE-2009-2416)

使用者應升級至這些更新版套件，其中包含可解決這些問題的反向移植修補程式。針對 Red Hat Enterprise Linux 3，其包含 libxml 和 libxml2 套件的反向移植修補程式。針對 Red Hat Enterprise Linux 4 和 5，其包含 libxml2 套件的反向移植修補程式。桌面必須重新啟動 (登出後再接著重新登入)，此更新才能生效。

堆疊消耗弱點允許內容相依的攻擊者透過 DTD 中的大型元素宣告深度造成拒絕服務 (應用程式損毀)。

遠端 VMware ESX / ESXi 主機缺少安全性相關修補程式。
因此受到下列元件中的多個弱點影響，包括遠端程式碼執行弱點：

- Apache Geronimo
 - Apache Tomcat
 - Apache Xerces2
 - cURL/libcURL
 - ISC BIND
 - Libxml2
 - Linux kernel
 - Linux kernel 64-bit
 - Linux kernel Common Internet File System
 - Linux kernel eCryptfs
 - NTP
 - Python
 - Java Runtime Environment (JRE)
 - Java SE Development Kit (JDK)
 - Java SE Abstract Window Toolkit (AWT)
 - Java SE Plugin
 - Java SE Provider
 - Java SE Swing
 - Java SE Web Start

ID	名稱	產品	系列	已發布	已更新	嚴重性
51756	SuSE 10 安全性更新：libxml (ZYPP 修補程式編號 6482)	Nessus	SuSE Local Security Checks	2011/1/27	2021/1/14	medium
60637	Scientific Linux 安全性更新：SL3.x、SL4.x、SL5.x i386/x86_64 上的 libxml 和 libxml2	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
79462	OracleVM 2.1 : libxml2 (OVMSA-2009-0018)	Nessus	OracleVM Local Security Checks	2014/11/26	2021/1/14	critical
40778	Google Chrome < 2.0.172.43 多個弱點	Nessus	Windows	2009/8/26	2022/4/11	high
67909	Oracle Linux 3 / 4 / 5 : libxml / libxml2 (ELSA-2009-1206)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
56772	FreeBSD：libxml -- 堆疊消耗弱點 (5a7d4110-0b7a-11e1-846b-00235409fd3e)	Nessus	FreeBSD Local Security Checks	2011/11/11	2021/1/6	medium
89117	VMware ESX / ESXi 多個弱點 (VMSA-2009-0016) (遠端檢查)	Nessus	Misc.	2016/3/3	2021/1/6	critical

偵測

搜尋 Plugin

medium

medium

critical

high

medium

medium

critical