已发现 libxml2 默认加载 XML 外部实体。如果用户或自动化系统受到诱骗打开特别构建的文档，攻击者可能获取任意文件的访问权限或导致资源消耗。此问题只影响 Ubuntu 10.04 LTS、Ubuntu 12.04 LTS 和 Ubuntu 12.10。
(CVE-2013-0339)

发现 libxml2 未正确处理意外结束的文档。如果用户或自动化系统受到诱骗打开特别构建的文档，攻击者可能会造成 libxml2 崩溃，从而导致拒绝服务。(CVE-2013-2877)。

已在 libxml2 中发现并修正了多种漏洞：

在 XML 文件解析期间请求/启用了外部实体引用替换（--noent 选项）的实体值时，libxml2（用于提供对读取、修改和编写 XML 和 HTML 文件的支持的库）执行字符串替换的方式中发现一个拒绝服务缺陷。远程攻击者可提供特别构建的且包含外部实体扩展的 XML 文件，处理该文件时将导致消耗过量 CPU（拒绝服务）(CVE-2013-0339)。此缺陷与 CVE-2013-0338 不同。

低于 28.0.1500.71 的 Google Chrome 和其他产品中使用的低于 2.9.0 的 libxml2 的 parser.c 允许远程攻击者通过突然结束的文档造成拒绝服务（越界读取），这与缺少 XML_PARSER_EOF 状态的某些检查有关 (CVE-2013-2877)。

更新后的程序包已进行修补，以修正这些问题。

Kurt Seifried 报告：

libxml2 受到内部实体展开（可用于消耗资源）和外部实体展开（可导致针对其他服务的拒绝服务、用于端口扫描等）的影响。

已更新 libxml2，修复了实体扩展问题：

- XML 内部实体扩展不在边界内，导致简单的小型 XML 文件可造成“内存不足”拒绝服务情况。
 (CVE-2013-0338)

USN-1904-1 修复了 libxml2 中的漏洞。该更新导致某些用户的回归。此更新修复了该问题。

我们对不便之处表示抱歉。

已发现 libxml2 默认加载 XML 外部实体。如果用户或自动化系统受到诱骗打开特别构建的文档，攻击者可能获取任意文件的访问权限或导致资源消耗。此问题只影响 Ubuntu 10.04 LTS、Ubuntu 12.04 LTS 和 Ubuntu 12.10。
(CVE-2013-0339)

发现 libxml2 未正确处理意外结束的文档。如果用户或自动化系统受到诱骗打开特别构建的文档，攻击者可能会造成 libxml2 崩溃，从而导致拒绝服务。(CVE-2013-2877)。

远程主机受到 GLSA-201412-11 中所述漏洞的影响（AMD64 x86 仿真基础库：多种漏洞）

在 AMD64 x86 仿真基础库中发现了多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

上下文有关的攻击者也许能够执行任意代码、造成拒绝服务情况或获取敏感信息。
 变通方案：

目前无任何已知的变通方案。

libxml2 已更新，以修复以下安全问题：

- CVE-2013-0338：libxml2 允许上下文有关的攻击者通过包含实体声明的 XML 文件造成拒绝服务（CPU 和内存损坏），此声明具有长替换文本以及许多对于此实体的引用，这也称为具有线性复杂性的“内部实体扩展”。

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

iSEC Partners 的 Brad Hill 发现许多 XML 实现容易受到外部实体扩展问题的影响，这可用于多种用途，如防火墙避开、伪装 IP 地址和拒绝服务。当在实体扩展期间执行字符串替换时 libxml2 容易受到这些问题的影响。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 除非应用程序开发人员使用 xmlSAX2ResolveEntity 或 xmlSetExternalEntityLoader 函数，否则 libxml2 到 2.9.1 不会正确处理外部实体扩展，这允许远程攻击者通过一个特制的 XML 文档，即 XML 外部实体 (XXE) 问题。注意：可以这样说，由于 libxml2 已经提供禁用外部实体扩展的功能，因此应用程序开发人员应负责解决此问题；根据此参数，此条目应遭到拒绝，并且每个受影响的应用程序都需要其自己的 CVE。 (CVE-2013-0339)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

根据其自我报告的版本，远程主机上运行的 Nessus Network Monitor 版本低于 6.2.2 版。因此，它受到 TNS-2023-23 公告中提及的多个漏洞影响。已发现多个第三方组件包含漏洞，供应商已提供更新版本。出于谨慎考虑且符合最佳实践，Tenable 选择升级这些组件，以解决这些问题的潜在影响。Nessus Network Monitor 6.2.2 更新了以下组件：

  - 将 c-ares 版本从 1.10.0 更新到 1.19.1。
  - 将 curl 版本从 7.79.1 更新到 8.1.2。
  - 将 libbzip2 版本从 1.0.6 更新到 1.0.8。
  - 将 libpcre 版本从 8.42 更新到 8.44。
  - 将 libxml2 版本从 2.7.7 更新到 2.11.1。
  - 将 libxslt 版本从 1.1.26 更新到 1.1.37。
  - 将 libxmlsec 版本从 1.2.18 更新到 1.2.37。
  - 将 sqlite 版本从 3.27.2 更新到 3.40.1。
  - 将 jQuery Cookie 版本从 1.3.1 更新到 1.4.1。
  - 将 jQuery UI 版本从 1.13.0 更新到 1.13.2。
  - 将 OpenSSL 版本从 3.0.8 更新到 3.0.9。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
68903	Ubuntu 10.04 LTS / 12.04 LTS / 12.10 / 13.04：libxml2 漏洞 (USN-1904-1)	Nessus	Ubuntu Local Security Checks	2013/7/16	2019/9/19	medium
69053	Mandriva Linux 安全公告：libxml2 （MDVSA-2013:198）	Nessus	Mandriva Local Security Checks	2013/7/25	2021/1/6	medium
65845	FreeBSD：libxml2 -- cpu 消耗 Dos (843a4641-9816-11e2-9c51-080027019be0)	Nessus	FreeBSD Local Security Checks	2013/4/8	2021/1/6	medium
66300	SuSE 11.2 安全更新：libxml2（SAT 修补程序编号 7517）	Nessus	SuSE Local Security Checks	2013/5/3	2021/1/19	medium
68957	Ubuntu 10.04 LTS / 12.04 LTS / 12.10 / 13.04：libxml2 回归 (USN-1904-2)	Nessus	Ubuntu Local Security Checks	2013/7/18	2019/9/19	medium
79964	GLSA-201412-11：AMD64 x86 仿真基础库：多种漏洞 (Heartbleed)	Nessus	Gentoo Local Security Checks	2014/12/15	2022/5/5	critical
83599	SUSE SLES10 安全更新：libxml2 (SUSE-SU-2013:1627-1)	Nessus	SuSE Local Security Checks	2015/5/20	2021/1/19	high
65695	Debian DSA-2652-1：libxml2 - 外部实体扩展	Nessus	Debian Local Security Checks	2013/3/27	2021/1/11	medium
66301	SuSE 10 安全更新：libxml2（ZYPP 修补程序编号 8513）	Nessus	SuSE Local Security Checks	2013/5/3	2021/1/19	medium
217932	Linux Distros 未修补的漏洞: CVE-2013-0339	Nessus	Misc.	2025/3/4	2025/3/4	critical
177842	Nessus Network Monitor < 6.2.2 多个漏洞 (TNS-2023-23)	Nessus	Misc.	2023/6/30	2023/7/6	critical

检测

插件搜索

medium

medium

medium

medium

medium

critical

high

medium

medium

critical

critical