远程 Debian 12 主机上安装的多个程序包受到 dsa-5949 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5949-1 security@debian.org https://www.debian.org/security/Aron Xu 2025 年 6 月 26 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包: libxml2 版本 CVE ID : CVE-2022-49043 CVE-2023-39615 CVE-2023-45322 CVE-2024-25062 CVE-2024-34459 CVE-2024-56171 CVE-2025-24928 CVE-2025-27113 CVE-2025-32414 CVE-2025-32415 Debian 缺陷：1051230 1053629 1063234 1071162 1094238 1098320 1098321 1098322 1102521 1103511

    简介


    在 GNOME XML 解析器和 Toolkit 库及其 Python 绑定中发现多种与内存相关的漏洞，包括释放后使用、越界内存访问和空指针取消引用，可能会造成拒绝服务或其他非预期行为。

    对于稳定发行版本 (bookworm)，已在 2.9.14+dfsg-1.3~deb12u2 版本中修复这些问题。

    我们建议您升级 libxml2 程序包。

    如需了解 libxml2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libxml2

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

根据其自我报告的版本，远程主机上运行的 Nessus Network Monitor 版本低于 6.5.0 版。因此，它受到 TNS-2024-17 公告中提及的多个漏洞影响。

  - Nessus Network Monitor 利用第三方软件来帮助提供底层功能。已发现其中多个第三方组件（OpenSSL、expat、curl 和 libxml2）包含漏洞，提供商已提供更新版本。出于谨慎考虑且符合最佳实践，Tenable 已选择升级这些组件，以解决这些问题的潜在影响。
    Nessus Network Monitor 6.5.0 会将 OpenSSL 更新到 3.0.15 版本，将 expat 更新到 2.6.3 版本，将 curl 更新到 8.10.0 版本，将 libxml2 更新到 2.13.1 版本，以解决已发现的漏洞。此外，还发现、报告并修复了一个单独的漏洞：Nessus Network Monitor 中存在存储型跨站脚本漏洞，经过身份验证的本地特权攻击者可借助该漏洞通过本地 CLI 将任意代码注入 NNM UI。- CVE-2024-9158 Tenable 已发布 Nessus Network Monitor 6.5.0 以解决这些问题。可从 Tenable 下载门户 (https://www.tenable.com/downloads/nessus-network-monitor) 获取安装文件。（CVE-2024-34459、CVE-2024-45491、CVE-2024-45492、CVE-2024-6119、CVE-2024-6197、CVE-2024-7264、CVE-2024-8096、CVE-2024-9158）

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号进行判断。

远程 Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 主机上安装的多个程序包受到公告 USN-7302-1 中提及的多个漏洞影响。

    据发现，libxml2 未正确处理某些内存操作。远程攻击者可利用此问题造成 libxml2 崩溃，从而导致拒绝服务或可能执行任意代码。此问题只影响 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2022-49043)

    据发现，libxml2 xmllint 工具未正确处理某些内存操作。如果用户或自动化系统受到诱骗而在特制的 xml 文件上运行 xmllint，则远程攻击者可造成 xmllint 崩溃，进而导致拒绝服务。此问题只影响 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS 和 Ubuntu 18.04 LTS。(CVE-2024-34459)

    发现 libxml2 未正确管理内存。攻击者可能会利用此问题发起拒绝服务攻击，或执行任意代码。(CVE-2024-56171)

    已发现在一些情况下 libxml2 会越界写入。攻击者可能会利用此问题发起拒绝服务攻击，或执行任意代码。(CVE-2025-24928)

    已发现在一些情况下 libxml2 可能会取消引用无效的内存。攻击者可能会利用此问题发起拒绝服务攻击。(CVE-2025-27113)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，它受到 ALAS2023-2024-783 公告中提及的一个漏洞影响。

    在低于 2.11.8 和 2.12.x 至 2.12.7 版本的 xmllint (from libxml2) 中发现一个问题。xmllint --htmlout 的格式错误消息可导致 xmllint.c 的 xmlHTMLPrintFileContext 中的缓冲区过度读取。
    (CVE-2024-34459)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 libxml2 版本低于 2.9.1-6 。因此，它受到 ALAS2-2024-2717 公告中提及的一个漏洞影响。

    在低于 2.11.8 和 2.12.x 至 2.12.7 版本的 xmllint (from libxml2) 中发现一个问题。xmllint --htmlout 的格式错误消息可导致 xmllint.c 的 xmlHTMLPrintFileContext 中的缓冲区过度读取。
    (CVE-2024-34459)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 20.04 LTS/22.04 LTS/24.04 LTS 主机上安装的多个程序包受到 USN-7240-1 公告中提及的多个漏洞影响。

    据发现，libxml2 未正确处理某些内存操作。远程攻击者可利用此问题造成 libxml2 崩溃，从而导致拒绝服务或可能执行任意代码。(CVE-2022-49043)

    据发现，libxml2 xmllint 工具未正确处理某些内存操作。如果用户或自动化系统受到诱骗而在特制的 xml 文件上运行 xmllint，则远程攻击者可造成 xmllint 崩溃，进而导致拒绝服务。(CVE-2024-34459)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4251 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4251-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 7 月 26 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：libxml2 版本：2.9.10+dfsg-6.7+deb11u8 CVE ID：CVE-2024-34459 CVE-2025-6021 CVE-2025-6170 CVE-2025-49794 CVE-2025-49796 Debian 缺陷：1071162 1107720 1107755 1107938

    在 GNOME XML 库 libxml2 中发现了多个安全问题，这些问题可能导致拒绝服务，甚至可能执行任意代码。

    CVE-2024-34459

        Zhineng Zhong 发现包含“xmllint
        --htmlout”的格式错误消息可导致缓冲区过度读取。

    CVE-2025-6021

        Ahmed Lekssays 发现“xmlBuildQName()”中存在整数溢出问题，可能在处理构建的输入时导致内存损坏或拒绝服务。

    CVE-2025-6170

        Ahmed Lekssays 发现 xmllint 中交互式 shell 的命令解析逻辑中存在一个基于堆栈的缓冲区溢出问题。

    CVE-2025-49794

        Nikita Sveshnikov 在 schematron 中发现一个堆释放后使用问题。在处理 Schematron 模式元素“<sch:name path=/>”中的 XPath 表达式时，会返回一个指向已释放内存的指针，进而加以访问，从而导致不明行为或潜在的崩溃。

    CVE-2025-49796

        Nikita Sveshnikov 在 schematron 中发现一个类型混淆问题。处理“sch:name”元素并访问命名空间信息可能会导致内存损坏或未定义行为。

    对于 Debian 11 bullseye，已在 2.9.10+dfsg-6.7+deb11u8 版本中修复这些问题。

    我们建议您升级 libxml2 程序包。

    如需了解 libxml2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libxml2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
240559	Debian dsa-5949：libxml2 - 安全更新	Nessus	Debian Local Security Checks	2025/6/26	2025/6/26	high
207713	Nessus Network Monitor < 6.5.0 多个漏洞 (TNS-2024-17)	Nessus	Misc.	2024/9/25	2025/5/29	critical
216780	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10：libxml2 漏洞 (USN-7302-1)	Nessus	Ubuntu Local Security Checks	2025/2/25	2025/4/10	high
212356	Amazon Linux 2023：libxml2、libxml2-devel、libxml2-static (ALAS2023-2024-783)	Nessus	Amazon Linux Local Security Checks	2024/12/11	2025/2/21	high
213363	Amazon Linux 2 : libxml2 (ALAS-2024-2717)	Nessus	Amazon Linux Local Security Checks	2024/12/23	2025/2/21	high
214777	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS：libxml2 漏洞 (USN-7240-1)	Nessus	Ubuntu Local Security Checks	2025/1/29	2025/2/21	high
242881	Debian dla-4251：libxml2 - 安全更新	Nessus	Debian Local Security Checks	2025/7/27	2025/7/27	low

检测

插件搜索

high

critical

high

high

high

high

low