远程 Debian 11 主机上安装的多个程序包受到 dla-4251 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4251-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 7 月 26 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：libxml2 版本：2.9.10+dfsg-6.7+deb11u8 CVE ID：CVE-2024-34459 CVE-2025-6021 CVE-2025-6170 CVE-2025-49794 CVE-2025-49796 Debian 缺陷：1071162 1107720 1107755 1107938

    在 GNOME XML 库 libxml2 中发现了多个安全问题，这些问题可能导致拒绝服务，甚至可能执行任意代码。

    CVE-2024-34459

        Zhineng Zhong 发现包含“xmllint
        --htmlout”的格式错误消息可导致缓冲区过度读取。

    CVE-2025-6021

        Ahmed Lekssays 发现“xmlBuildQName()”中存在整数溢出问题，可能在处理构建的输入时导致内存损坏或拒绝服务。

    CVE-2025-6170

        Ahmed Lekssays 发现 xmllint 中交互式 shell 的命令解析逻辑中存在一个基于堆栈的缓冲区溢出问题。

    CVE-2025-49794

        Nikita Sveshnikov 在 schematron 中发现一个堆释放后使用问题。在处理 Schematron 模式元素“<sch:name path=/>”中的 XPath 表达式时，会返回一个指向已释放内存的指针，进而加以访问，从而导致不明行为或潜在的崩溃。

    CVE-2025-49796

        Nikita Sveshnikov 在 schematron 中发现一个类型混淆问题。处理“sch:name”元素并访问命名空间信息可能会导致内存损坏或未定义行为。

    对于 Debian 11 bullseye，已在 2.9.10+dfsg-6.7+deb11u8 版本中修复这些问题。

    我们建议您升级 libxml2 程序包。

    如需了解 libxml2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libxml2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian dla-4251：libxml2 - 安全更新

low Nessus 插件 ID 242881

版本 1.3