遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2020: 1827 公告中提及的多個弱點影響。

  - libxml2：xpath.c 的 xmlXPathCompOpEval() 函數中存在 NULL 指標取消參照 (CVE-2018-14404)

  - libxml2：xzlib.c 的 xz_decomp 函式中存在無限迴圈 (CVE-2018-9251)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根據其自我報告的版本號碼，遠端主機上執行的 Nessus Network Monitor 低於 6.2.2 版。因此，會受到 TNS-2023-23 公告中所提及的多個弱點影響。由於發現多個第三方元件中存在弱點，廠商已提供更新版。出於慎重和符合良好實務，Tenable 選擇升級這些元件，以解決這些問題的潛在影響。Nessus Network Monitor 6.2.2 更新了下列元件：

  - 1.10.0 版到 1.19.1 版的 c-ares。
  - 7.79.1 版到 8.1.2 版的 curl。
  - 1.0.6 版到 1.0.8 版的 libbzip2。
  - 8.42 版到 8.44 版的 libpcre。
  - 2.7.7 版到 2.11.1 版的 libxml2。
  - 1.1.26 版到 1.1.37 版的 libxslt。
  - 1.2.18 版到 1.2.37 版的 libxmlsec。
  - 3.27.2 版到 3.40.1 版的 sqlite。
  - 1.3.1 版到 1.4.1 版的 jQuery Cookie。
  - 1.13.0 版到 1.13.2 版的 jQuery UI。
  - 3.0.8 版到 3.0.9 版的 OpenSSL。

根據其自我報告的版本號碼，遠端 Juniper Junos 裝置受到 libxml2 中的多個弱點影響：- libxml2 2.9.4 之前版本中的格式字串弱點可讓攻擊者透過不明向量中的格式字串指定字造成不明影響。(CVE-2016-4448) - 在 libxml2 2.9.3 與之前版本中，當以復原模式使用 tree.c 的 xmlStringGetNodeList 函數時，可讓內容相依的攻擊者透過特製的 XML 文件造成拒絕服務 (無限遞迴、堆疊耗用和應用程式損毀)。(CVE-2016-3627)

遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2020: 1827 公告中提及的多個弱點影響。

  - libxml2：xpath.c 的 xmlXPathCompOpEval() 函數中存在 NULL 指標取消參照 (CVE-2018-14404)

  - libxml2：xzlib.c 的 xz_decomp 函式中存在無限迴圈 (CVE-2018-9251)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2020-1827 公告中提及的多個弱點影響。

  - 在libxml2 2.9.8 及之前版本中， xpath.c:xmlXPathCompOpEval() 函式在解析 XPATH_OP_AND or XPATH_OP_OR 使用案例中的無效 XPath 運算式時，存在 NULL 指標解除參照弱點。
    使用 libxml2 程式庫處理未受信任之 XSL 格式輸入的應用程式，可能會因為應用程式損毀而容易受到拒絕服務攻擊。(CVE-2018-14404)

  - 如果使用 --with-lzma，則遠端攻擊者可利用 libxml2 2.9.8 中 xzlib.c 的 xz_decomp 函式，透過能夠觸發 LZMA_MEMLIMIT_ERROR 的特製 XML 檔案造成拒絕服務 (無限迴圈)，如 xmllint 所示。此弱點與 CVE-2015-8035 不同。(CVE-2018-9251)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

CVE-2018-14404 NULL 指標解除參照的修正可導致當機，進而造成拒絕服務。CVE-2018-14567 和 CVE-2018-9251 LZMA 錯誤處理的改善功能，可防止發生無限迴圈。CVE-2017-18258 將可用記憶體限制為 100MB，以避免惡意檔案過度耗用記憶體。針對 Debian 8「Jessie」，這些問題已在 2.9.1+dfsg1-5+deb8u7 版本中修正。我們建議您升級 libxml2 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
143009	RHEL 8：libxml2 (RHSA-2020: 1827)	Nessus	Red Hat Local Security Checks	2020/11/18	2024/4/28	high
177842	Nessus Network Monitor < 6.2.2 多個弱點 (TNS-2023-23)	Nessus	Misc.	2023/6/30	2023/7/6	critical
121070	Junos 作業系統：libxml2 中的多個弱點 (JSA10916)	Nessus	Junos Local Security Checks	2019/1/11	2021/2/9	critical
145930	CentOS 8：libxml2 (CESA-2020: 1827)	Nessus	CentOS Local Security Checks	2021/2/1	2024/1/24	high
180991	Oracle Linux 8：libxml2 (ELSA-2020-1827)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/7	high
117811	Debian DLA-1524-1：libxml2 安全性更新	Nessus	Debian Local Security Checks	2018/9/28	2021/1/11	high

偵測

搜尋 Plugin

high

critical

critical

high

high

high