Amazon Linux 2：perl-XML-Parser，--advisory ALAS2-2026-3230 (ALAS-2026-3230)

critical Nessus 插件 ID 306282

语言：

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

远程主机上安装的 perl-XML-Parser 版本低于 2.41-10。因此，该软件受到 ALAS2-2026-3230 公告中提及的多个漏洞影响。

Perl 的 XML::Parser 版本（最高至 2.47）可能会导致超过预先分配的缓冲区大小，从而引发堆损坏（双重释放或损坏）和崩溃。

A :utf8 的 PerlIO 层中，Expat.xs 里的 parse_stream() 可能会因溢出 XML 输入缓冲区而出错：原因是 Perl 的 read() 会返回已解码的字符，但 SvPV() 会提供多字节的 UTF-8 字节，这些字节长度可能超过预先分配的缓冲区大小。这可造成堆损坏（双重释放或损坏）和崩溃。
(CVE-2006-10002)

Perl 的 XML::Parser 版本（直至 2.47）在 st_serial_stack 处存在差一堆缓冲区溢出。

在 (stackptr == stacksize - 1) 的情况下，栈将不会被扩展。随后，新值将被写入位置 (++stackptr)，该位置等于 stacksize，因此正好落在已分配缓冲区之外。

当解析一个元素嵌套层级非常深的 XML 文件时，可以观察到该漏洞 (CVE-2006-10003)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。