現已提供適用於 Red Hat Enterprise Linux 7 的 xerces-c 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Xerces-C 是以可攜式子集的 C++ 所撰寫的驗證 XML 剖析器。Xerces-C 能讓您的應用程式輕鬆讀取和寫入 XML 資料。提供共用程式庫來剖析、產生、操控和驗證 XML 文件。安全性修正：* xerces-c：XML 剖析器含有一個掃描外部 DTD 時遭到觸發的釋放後使用錯誤 (CVE-2018-1311) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

現已提供適用於 Red Hat Enterprise Linux 6 的 xerces-c 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Xerces-C 是以可攜式子集的 C++ 所撰寫的驗證 XML 剖析器。Xerces-C 能讓您的應用程式輕鬆讀取和寫入 XML 資料。提供共用程式庫來剖析、產生、操控和驗證 XML 文件。安全性修正：* xerces-c：XML 剖析器含有一個掃描外部 DTD 時遭到觸發的釋放後使用錯誤 (CVE-2018-1311) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

遠端 Ubuntu 16.04 ESM/18.04 ESM 主機上安裝的套件受到 USN-6579-1 公告中提及的一個弱點影響。

  - Apache Xerces-C 3.0.0 至 3.2.3 的 XML 剖析器含有一個掃描外部 DTD 時會觸發的釋放後使用錯誤。目前維護的程式庫版本尚未解決此瑕疵，且除了停用 DTD 處理外，目前沒有任何緩解措施。這可透過使用標準剖析器功能的 DOM 完成，或透過使用 XERCES_DISABLE_DTD 環境變數的 SAX 來完成。(CVE-2018-1311)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

據發現，適用於 C++ 的驗證 XML 剖析器程式庫 xerces-c 未正確掃描 DTD。此問題造成的釋放後使用弱點可讓遠端攻擊者利用特製的 XML 檔案來損毀應用程式，或可能執行任意程式碼。請注意，修正此問題的修補程式是以新引入的記憶體洩漏為代價。

英國國家網路安全中心 (NCSC) 發現，Xerces-C (適用於 C++ 的驗證 XML 剖析器程式庫) 中存在可在掃描外部 DTD 期間觸發的釋放後使用錯誤。
攻擊者可觸發拒絕服務 (DoS)，且可能在遠端執行程式碼。目前維護的庫版本尚未解決此瑕疵，沒有完整的緩解措施。此更新提供的第一個方案以記憶體洩漏為代價修正了釋放後使用弱點。另一個方案是停用 DTD 處理，這可透過使用標準剖析器功能的 DOM 完成，或透過使用 XERCES_DISABLE_DTD 環境變數的 SAX 來完成。

針對 Debian 9 Stretch，已在 3.1.4+debian-2+deb9u2 版本中修正此問題。

建議您升級 xerces-c 套件。

如需有關 xerces-c 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/xerces-c

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在透過 SAX API 處理 XML 文件的方式中，在 xerces-c 中發現釋放後使用弱點。如果應用程式處理具有外部文件類型定義 (DTD) 的 XML 文件，則其可能會受到此缺陷影響。遠端攻擊者可特別構建 XML 檔案，進而利用此缺陷，造成應用程式損毀，或可能導致任意程式碼執行。(CVE-2018-1311)

安全性修正：- xerces-c：XML 剖析器含有一個掃描外部 DTD 時觸發的釋放後使用錯誤 (CVE-2018-1311)

遠端 Ubuntu 20.04 LTS / 22.04 ESM / 23.04 / 23.10 主機上安裝的套件受到 USN-6579-2 公告中提及的一個弱點影響。

  - Apache Xerces-C 3.0.0 至 3.2.3 的 XML 剖析器含有一個掃描外部 DTD 時會觸發的釋放後使用錯誤。目前維護的程式庫版本尚未解決此瑕疵，且除了停用 DTD 處理外，目前沒有任何緩解措施。這可透過使用標準剖析器功能的 DOM 完成，或透過使用 XERCES_DISABLE_DTD 環境變數的 SAX 來完成。(CVE-2018-1311)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

執行 MAIN 4.05 版的遠端 NewStart CGSL 主機上安裝的 xerces-c 套件受到一個弱點影響：

  - Apache Xerces-C 3.0.0 至 3.2.2 的 XML 剖析器含有一個掃描外部 DTD 時會觸發的釋放後使用錯誤。目前維護的程式庫版本尚未解決此瑕疵，且除了停用 DTD 處理外，目前沒有任何緩解措施。這可透過使用標準剖析器功能的 DOM 完成，或透過使用 XERCES_DISABLE_DTD 環境變數的 SAX 來完成。(CVE-2018-1311)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

來自 Red Hat 安全性公告 2020:0702：

現已提供適用於 Red Hat Enterprise Linux 6 的 xerces-c 更新。

Red Hat 產品安全性團隊已將此更新評等為具有「重要」安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Xerces-C 是以可攜式子集的 C++ 所撰寫的驗證 XML 剖析器。Xerces-C 能讓您的應用程式輕鬆讀取和寫入 XML 資料。提供共用程式庫來剖析、產生、操控和驗證 XML 文件。

安全性修復：

* xerces-c：XML 剖析器含有掃描外部 DTD 時觸發的釋放後使用錯誤 (CVE-2018-1311)

如需有關安全性問題的詳細資料，包括影響、CVSS 評分、確認及其他相關資訊，請參閱〈參照〉一節中列出的 CVE 頁面。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2020: 0704 公告中提及的多個弱點影響。

  - xerces-c：XML 剖析器含有一個掃描外部 DTD 時觸發的釋放後使用錯誤 (CVE-2018-1311)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2020: 0702 公告中提及的一個弱點影響。

  - xerces-c：XML 剖析器含有一個掃描外部 DTD 時觸發的釋放後使用錯誤 (CVE-2018-1311)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

執行 CORE 5.05 / MAIN 5.05 版的遠端 NewStart CGSL 主機上安裝的 xerces-c 套件受到一個弱點影響：

  - Apache Xerces-C 3.0.0 至 3.2.3 的 XML 剖析器含有一個掃描外部 DTD 時會觸發的釋放後使用錯誤。目前維護的程式庫版本尚未解決此瑕疵，且除了停用 DTD 處理外，目前沒有任何緩解措施。這可透過使用標準剖析器功能的 DOM 完成，或透過使用 XERCES_DISABLE_DTD 環境變數的 SAX 來完成。(CVE-2018-1311)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

來自 Red Hat 安全性公告 2020:0704：

現已提供適用於 Red Hat Enterprise Linux 7 的 xerces-c 更新。

Red Hat 產品安全性團隊已將此更新評等為具有「重要」安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Xerces-C 是以可攜式子集的 C++ 所撰寫的驗證 XML 剖析器。Xerces-C 能讓您的應用程式輕鬆讀取和寫入 XML 資料。提供共用程式庫來剖析、產生、操控和驗證 XML 文件。

安全性修復：

* xerces-c：XML 剖析器含有掃描外部 DTD 時觸發的釋放後使用錯誤 (CVE-2018-1311)

如需有關安全性問題的詳細資料，包括影響、CVSS 評分、確認及其他相關資訊，請參閱〈參照〉一節中列出的 CVE 頁面。

遠端 Ubuntu 16.04 ESM/18.04 ESM/20.04 LTS/22.04 LTS 主機上安裝的多個套件受到 USN-6590-1 公告中提及的多個弱點影響。

  - Apache Xerces-C 3.0.0 至 3.2.3 的 XML 剖析器含有一個掃描外部 DTD 時會觸發的釋放後使用錯誤。目前維護的程式庫版本尚未解決此瑕疵，且除了停用 DTD 處理外，目前沒有任何緩解措施。這可透過使用標準剖析器功能的 DOM 完成，或透過使用 XERCES_DISABLE_DTD 環境變數的 SAX 來完成。(CVE-2018-1311)

  - BigFix Platform 的 xerces-c++ 3.2.3 中存在整數溢位，遠端攻擊者可藉此透過 HTTP 要求造成越界存取。(CVE-2023-37536)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Oracle GoldenGate 版本受到 2022 年 1 月 CPU 公告中提及的下列弱點影響：

  - Oracle GoldenGate 中的弱點 (元件：版本要求 (Apache Xerces-C++))。支援的版本中受影響的是 21.4.0.0.0 之前版本。攻擊此弱點的難度較大，經由 HTTP 存取網路的未經驗證的攻擊者可藉此入侵 Oracle GoldenGate。若攻擊成功，攻擊者可以接管 Oracle GoldenGate。(CVE-2018-1311)

  - Oracle GoldenGate 中的弱點 (元件：GG 市場支援 (nginx))。支援的版本中受影響的是 21.4.0.0.0 之前版本。攻擊此弱點的難度較小，經由 UDP 存取網路的未經驗證的攻擊者可藉此入侵 Oracle GoldenGate。若攻擊成功，攻擊者可在未經授權的情況下建立、刪除或修改關鍵資料或所有 Oracle GoldenGate 可存取資料，並且未經授權存取關鍵資料或完整存取所有 Oracle GoldenGate 可存取資料，以及在未經授權的情況下造成 Oracle GoldenGate 局部拒絕服務 (局部 DOS)。(CVE-2021-23017)

  - Oracle GoldenGate 中的弱點 (元件：資料庫 (OCCI))。支援的版本中受到影響的是 21.5.0.0.220118 之前版本、19.1.0.0.220118 之前版本和 12.3.0.1 之前版本。攻擊此弱點的難度較大，經由 Oracle Net 存取網路的未經驗證的攻擊者可藉此入侵 Oracle GoldenGate。若要成功攻擊，必須有攻擊者以外之他人的互動，且雖然弱點位於 Oracle GoldenGate 中，但攻擊可能對其他產品造成重大影響。若攻擊成功，攻擊者可以接管 Oracle GoldenGate。(CVE-2021-2351)

ID	名稱	產品	系列	已發布	已更新	嚴重性
134239	CentOS 7：xerces-c (CESA-2020:0704)	Nessus	CentOS Local Security Checks	2020/3/6	2020/3/10	high
134237	CentOS 6：xerces-c (CESA-2020:0702)	Nessus	CentOS Local Security Checks	2020/3/6	2020/3/10	high
187954	Ubuntu 16.04 ESM / 18.04 ESM：Xerces-C++ 弱點 (USN-6579-1)	Nessus	Ubuntu Local Security Checks	2024/1/11	2024/1/11	high
144437	Debian DSA-4814-1：xerces-c - 安全性更新	Nessus	Debian Local Security Checks	2020/12/18	2024/2/1	high
144444	Debian DLA-2498-1：xerces-c 安全性更新	Nessus	Debian Local Security Checks	2020/12/18	2024/2/1	high
135933	Amazon Linux 2：xerces-c (ALAS-2020-1415)	Nessus	Amazon Linux Local Security Checks	2020/4/24	2024/3/14	high
134274	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 xerces-c (20200304)	Nessus	Scientific Linux Local Security Checks	2020/3/6	2024/3/25	high
188073	Ubuntu 20.04 LTS / 22.04 ESM / 23.04 / 23.10：Xerces-C++ 弱點 (USN-6579-2)	Nessus	Ubuntu Local Security Checks	2024/1/16	2024/1/16	high
140287	NewStart CGSL MAIN 4.05：xerces-c 弱點 (NS-SA-2020-0052)	Nessus	NewStart CGSL Local Security Checks	2020/9/7	2021/1/14	high
134338	Oracle Linux 6：xerces-c (ELSA-2020-0702)	Nessus	Oracle Linux Local Security Checks	2020/3/9	2024/3/25	high
134275	Scientific Linux 安全性更新：SL7.x x86_64 上的 xerces-c (20200304)	Nessus	Scientific Linux Local Security Checks	2020/3/6	2024/3/25	high
134268	RHEL 7：xerces-c (RHSA-2020: 0704)	Nessus	Red Hat Local Security Checks	2020/3/6	2024/4/28	high
134266	RHEL 6：xerces-c (RHSA-2020: 0702)	Nessus	Red Hat Local Security Checks	2020/3/6	2023/1/23	high
143902	NewStart CGSL CORE 5.05 / MAIN 5.05：xerces-c 弱點 (NS-SA-2020-0114)	Nessus	NewStart CGSL Local Security Checks	2020/12/9	2020/12/10	high
134340	Oracle Linux 7：xerces-c (ELSA-2020-0704)	Nessus	Oracle Linux Local Security Checks	2020/3/9	2024/3/25	high
189194	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 LTS / 22.04 LTS : Xerces-C++ 弱點 (USN-6590-1)	Nessus	Ubuntu Local Security Checks	2024/1/18	2024/1/18	high
168057	Oracle GoldenGate 多個弱點 (2022 年 1 月 CPU)	Nessus	Misc.	2022/11/22	2023/10/3	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high