CVE-2009-2473 neon，gnome-vfs2 嵌入式 neon：billion laughs DoS 攻击

CVE-2009-2474 neon：未正确验证某些字段中包含空 (0) 字节的 x509v3 证书

发现 neon 受到之前发布的“null 前缀攻击”的影响，后者是由对 X.509 证书中的空字符的不当处理导致的。如果攻击者能够获得由受信任的颁发机构签名的、精心构建的证书，则攻击者可在中间人攻击期间利用此证书并可能迷惑使用 neon 库的应用程序错误地接受该证书。(CVE-2009-2474)

发现 neon 可扩展标记语言 (XML) 解析器存在拒绝服务缺陷。远程攻击者（恶意 DAV 服务器）可提供特别构建的 XML 文档，如果使用 neon XML 解析器的应用程序受到诱骗处理该文档，会导致消耗过量内存和 CPU。(CVE-2009-2473)

必须重新启动使用 neon HTTP 和 WebDAV 客户端库的应用程序（例如 cadaver）才能使更新生效。

远程iraclelinux 3 主机上存在安装的程序包该程序包受到 AXSA:2009-403:02 公告中提及的多个漏洞的影响。

    neon 是带有 C 接口的 HTTP 和 WebDAV 客户端库为 HTTP 和 WebDAV 方法提供高级接口以及用于 HTTP 请求处理的低级接口。 neon 支持持续连接、代理服务器、基本、摘要和 Kerberos 身份验证，并具有完整的 SSL 支持。
    此版本修复的安全缺陷
    CVE-2009-24730.28.6之前的 neon 在使用 expat 时在实体扩展期间未正确检测递归这将允许上下文有关的攻击者通过构建的包含大量嵌套内存的 XML 文档来造成拒绝服务内存和 CPU 消耗实体引用与 CVE-2003-1564类似的问题。
    CVE-2009-24740.28.6之前的 neon 在使用 OpenSSL 或 GnuTLS 时未正确处理 X.509 证书主题的公用名 (CN) 字段中的域名中的“0”字符-middle 攻击者通过由合法证书颁发机构颁发的构建的证书欺骗任意 SSL 服务器这是与 CVE-2009-2408有关的问题。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

来自 Red Hat 安全公告 2009:1452：

更新后的 neon 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 4 和 5。

Red Hat 安全响应团队将此更新评级为具有中等安全影响。

neon 是 HTTP 和 WebDAV 客户端库，具有 C 接口。它提供 HTTP 和 WebDAV 方法的高级接口以及用于 HTTP 请求处理的低级接口。neon 支持持久连接，代理服务器，basic、digest 和 Kerberos 认证，并具备完整的 SSL 支持。

发现 neon 受到之前发布的“null 前缀攻击”的影响，后者是由对 X.509 证书中的空字符的不当处理导致的。如果攻击者能够获得由受信任的颁发机构签名的、精心构建的证书，则攻击者可在中间人攻击期间利用此证书并可能迷惑使用 neon 库的应用程序错误地接受该证书。(CVE-2009-2474)

发现 neon 可扩展标记语言 (XML) 解析器存在拒绝服务缺陷。远程攻击者（恶意 DAV 服务器）可提供特别构建的 XML 文档，如果使用 neon XML 解析器的应用程序受到诱骗处理该文档，会导致消耗过量内存和 CPU。(CVE-2009-2473)

所有 neon 用户应升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动使用 neon HTTP 和 WebDAV 客户端库的应用程序（例如 cadaver）才能使更新生效。

远程主机运行的 Mac OS X 10.6.x 版本低于 10.6.5。Mac OS X 10.6.5 含有下列产品的安全修复：- AFP Server - Apache mod_perl - Apache - AppKit - ATS - CFNetwork - CoreGraphics - CoreText - CUPS - Directory Services - diskdev_cmds - Disk Images - Flash Player plug-in - gzip - Image Capture - ImageIO - Image RAW - Kernel - MySQL - neon - Networking - OpenLDAP - OpenSSL - Password Server - PHP - Printing - python - QuickLook - QuickTime - Safari RSS - Time Machine - Wiki Server - X11 - xar

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
60667	Scientific Linux 安全更新：SL4.x、SL5.x i386/x86_64 中的 neon	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
284013	MagicLinux 3neon-0.25.5-10AXS3.1 (AXSA:2009-403:02)	Nessus	Miracle Linux Local Security Checks	2026/1/14	2026/1/14	high
67927	Oracle Linux 4 / 5：neon (ELSA-2009-1452)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	high
50548	Mac OS X 10.6.x < 10.6.5 多种漏洞	Nessus	MacOS X Local Security Checks	2010/11/10	2024/5/28	critical

检测

插件搜索

medium

high

high

critical