远程 CentOS Linux 9 主机上安装的多个程序包受到 libxml2-2.9.12-4.el9 版本变更日志中提及的多个漏洞影响。

  - libxml2 2.9.10 的 xmlschemas.c 中的 xmlSchemaPreRun 允许 xmlSchemaValidateStream 内存泄露。
    (CVE-2019-20388)

  - GNOME 项目 libxml2 v2.9.10 在 libxml2/entities.c 的 xmlEncodeEntitiesInternal 中有一个全局缓冲区过度读取漏洞。此问题已在 commit 50f06b3e 中修复。(CVE-2020-24977)

  - 在某些 end-of-file 情况下，libxml2 2.9.10 的 parser.c 中的 xmlStringLenDecodeEntities 存在无限循环漏洞。(CVE-2020-7595)

  - libxml2 2.9.11 之前版本中的 xmllint 存在缺陷。如果攻击者能够提交构建的文件让 xmllint 进行处理，可能会触发 use-after-free（释放后使用）。此缺陷最大的影响对象在于机密性、完整性和可用性。(CVE-2021-3516)

  - libxml2 2.9.11 之前版本中的 xml 实体编码功能存在缺陷。如果攻击者能够提供构建的文件让与受影响的 libxml2 功能关联的应用程序进行处理，可能会触发越界读取。此缺陷最可能的影响对象在于应用程序可用性，如果攻击者能够使用内存信息来进一步利用该应用程序，则可能对机密性和完整性造成某些潜在影响。(CVE-2021-3517)

  - libxml2 2.9.11 之前的版本中存在缺陷。如果攻击者能够提交构建的文件让与 libxml2 关联的应用程序进行处理，可能会触发 use-after-free（释放后使用）。此缺陷最大的影响对象在于机密性、完整性和可用性。(CVE-2021-3518)

  - 在 libxml2 2.9.11 之前的版本中发现了一个漏洞，该漏洞表明，在解析 XML 混合内容时未传播错误，从而导致空指针取消引用。如果在恢复模式下解析不受信任的 XML 文档并对其进行后验证，则可以利用该缺陷来导致应用程序崩溃。此漏洞最大的威胁在于系统可用性。(CVE-2021-3537)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 IBM Cognos Analytics 版本为低于 11.1.7 版 Fix Pack 7 的 11.1.x 版或低于 11.2.4 FP1 的 11.2.x 版。因此，该应用程序受到多个漏洞的影响，其中包括：

  - GNOME libxml2 可能允许远程攻击者在系统上执行任意代码，而此漏洞是 xinclude.c 的 xmlXIncludeDoProcess() 函数中存在释放后使用缺陷所致。通过发送特制的文件，攻击者可利用此漏洞在系统上执行任意代码。(CVE-2021-3518)

  - Node.js 可允许本地攻击者在系统上获得提升权限，这是由 providers.dll 的 DLL 搜索顺序劫持造成的。通过放置特制文件，攻击者可利用此漏洞提升权限。(CVE-2022-32223)

  - Node.js 标记的模块容易受到拒绝服务的影响，这是由 inline.reflinkSearch 中的正则表达式拒绝服务 (ReDoS) 缺陷造成的。远程攻击者可以通过发送特制的 regex 输入，利用此漏洞造成拒绝服务情况。(CVE-2022-21681)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

移动设备上运行的 Apple iOS 版本低于 14.7。因此，该应用程序受到多个漏洞的影响，其中包括：

  - Measure 中存在一个不明漏洞，该漏洞可影响可用性、机密性和可用性矢量。
  (CVE-2020-36329)

  - FontParser 中存在堆栈溢出漏洞，该漏洞可通过改进的输入验证来解决。(CVE-2021-30759)

  - FontParser 中存在整数溢出漏洞，该漏洞可通过改进的输入验证来解决。
  (CVE-2021-30760)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程主机上安装的 Enterprise Manager Ops Center 12.4.0.0 版本受到 2021 年 10 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle Enterprise Manager 的 Enterprise Manager Ops Center 产品中存在漏洞（组件：Networking (Apache HTTP Server)）。支持的版本中受影响的是 12.4.0.0。轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Enterprise Manager Ops Center。成功攻击此漏洞可导致接管 Enterprise Manager Ops Center。(CVE-2021-26691)

  - Oracle Enterprise Manager 的 Enterprise Manager Ops Center 产品中存在漏洞（组件：客户机管理 (libxml2)）。支持的版本中受影响的是 12.4.0.0。轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Enterprise Manager Ops Center。除攻击者以外的他人进行交互是实现成功攻击的必要条件。
    成功攻击此漏洞可导致接管 Enterprise Manager Ops Center。
    (CVE-2021-3518)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

根据其自我报告的版本，远程主机上运行的 Nessus Network Monitor 版本低于 6.2.2 版。因此，它受到 TNS-2023-23 公告中提及的多个漏洞影响。已发现多个第三方组件包含漏洞，供应商已提供更新版本。出于谨慎考虑且符合最佳实践，Tenable 选择升级这些组件，以解决这些问题的潜在影响。Nessus Network Monitor 6.2.2 更新了以下组件：

  - 将 c-ares 版本从 1.10.0 更新到 1.19.1。
  - 将 curl 版本从 7.79.1 更新到 8.1.2。
  - 将 libbzip2 版本从 1.0.6 更新到 1.0.8。
  - 将 libpcre 版本从 8.42 更新到 8.44。
  - 将 libxml2 版本从 2.7.7 更新到 2.11.1。
  - 将 libxslt 版本从 1.1.26 更新到 1.1.37。
  - 将 libxmlsec 版本从 1.2.18 更新到 1.2.37。
  - 将 sqlite 版本从 3.27.2 更新到 3.40.1。
  - 将 jQuery Cookie 版本从 1.3.1 更新到 1.4.1。
  - 将 jQuery UI 版本从 1.13.0 更新到 1.13.2。
  - 将 OpenSSL 版本从 3.0.8 更新到 3.0.9。

远程主机上安装的 Splunk 版本低于测试版本。因此，该应用程序受到 SVD-2023-0215 公告中提及的漏洞的影响。

  - Eventlet 是适用于 Python 的并发网络库。websocket 对等机通过发送大型 websocket 帧，可耗尽 Eventlet 端的内存。恶意对等机可通过发送高度压缩的数据帧来耗尽 Eventlet 端的内存。0.31.0 版的修补程序会将 websocket 帧限制在合理的范围内。作为一种变通方案，通过操作系统限制来限制内存使用将有助于防止整个计算机内存耗尽，但目前没有用于保护 Eventlet 进程的变通方案。(CVE-2021-21419)

  - 在 python-lxml 4.6.3 之前版本的清洁模块中发现 XSS 漏洞。禁用 safe_attrs_only 和 forms 参数时，Cleaner 类不会删除 formaction 属性，导致允许 JS 绕过审查器。远程攻击者可利用此缺陷，对与未正确审查 HTML 进行交互的用户运行任意 JS 代码。已在 lxml 中修复此问题 4.6.3。
    (CVE-2021-28957)

  - Moment.js 是用于解析、验证、操纵和格式化日期的 JavaScript 日期库。Moment.js 1.0.1 至 2.29.1 版的 npm（服务器）用户受到路径遍历漏洞的影响，尤其是在直接使用由用户提供的区域设置字符串切换 moment 区域设置时。此问题已在 2.29.2 版中修补，该补丁可应用于所有受影响的版本。变通方案是先审查用户提供的区域设置名称，然后再将其传递给 Moment.js。(CVE-2022-24785)

  - moment 是用于解析、验证、操纵和格式化日期的 JavaScript 日期库。据发现，受影响的 moment 版本使用了低效解析算法。具体而言，在 moment 中使用 string-to-date 解析（更确切讲，是默认尝试的 rfc2822 解析）处理特定输入时，复杂性为二的次方 (N^2)。用户可能会注意到，当输入超过 10k 个字符时，处理速度会明显减慢。如果用户将用户提供的字符串传递到 moment 构造函数，而未经健全性长度检查，就容易受到 (Re)DoS 攻击。此问题已在 2.29.4 版中修补，该补丁可应用于调整极少的所有受影响的版本。建议所有用户都进行升级。无法升级的用户应考虑限制接受用户输入的日期长度。(CVE-2022-31129)

  - 低于 14.20.0、16.20.0、18.5.0 的 Node.js 版本中存在操作系统命令注入漏洞，这是因为 IsAllowedHost 检查不充分所致，IsIPAddress 在发出 DBS 请求前未正确检查 IP 地址是否无效，从而导致可轻松绕过该漏洞并允许重新绑定攻击。(CVE-2022-32212)

  - 在 Python（也称为 CPython）3.10.8 及之前的所有版本中，mailcap 模块不会将转义字符添加到在系统 mailcap 文件中发现的命令中，攻击者可借此将 shell 命令注入使用不受信任的输入调用 mailcap.findmatch 的应用程序（如果缺少对用户提供的文件名或参数的验证）。此补丁也会向后移植到 3.7、3.8、3.9 (CVE-2015-20107)

  - libxml2 2.9.11 之前版本中的 xml 实体编码功能存在缺陷。如果攻击者能够提供构建的文件让与受影响的 libxml2 功能关联的应用程序进行处理，可能会触发越界读取。此缺陷最可能的影响对象在于应用程序可用性，如果攻击者能够使用内存信息来进一步利用该应用程序，则可能对机密性和完整性造成某些潜在影响。(CVE-2021-3517)

  - 在 libxml2 2.9.11 之前的版本中发现了一个漏洞，该漏洞表明，在解析 XML 混合内容时未传播错误，从而导致空指针取消引用。如果在恢复模式下解析不受信任的 XML 文档并对其进行后验证，则可以利用该缺陷来导致应用程序崩溃。此漏洞最大的威胁在于系统可用性。(CVE-2021-3537)

  - libxml2 2.9.11 之前的版本中存在缺陷。如果攻击者能够提交构建的文件让与 libxml2 关联的应用程序进行处理，可能会触发 use-after-free（释放后使用）。此缺陷最大的影响对象在于机密性、完整性和可用性。(CVE-2021-3518)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7/8 主机上安装的多个程序包受到 RHSA-2022: 1389 公告中提及的一个漏洞影响。

  - libxml2：entities.c 的 xmlEncodeEntitiesInternal() 中存在释放后使用 (CVE-2021-3516)

  - libxml2：entities.c 的 xmlEncodeEntitiesInternal() 中存在基于堆的缓冲区溢出 (CVE-2021-3517)

  - libxml2：xinclude.c 的 xmlXIncludeDoProcess() 中存在释放后使用 (CVE-2021-3518)

  - libxml2：在对恢复模式中解析的混合内容进行后验证时，存在空指针取消引用 (CVE-2021-3537)

  - libxml2：指数实体扩展攻击绕过所有现有保护机制 (CVE-2021-3541)

  - openssl：解析证书时可访问 BN_mod_sqrt() 中的无限循环 (CVE-2022-0778)

  - httpd：丢弃请求正文期间遇到的错误会导致 HTTP 请求走私 (CVE-2022-22720)

  - libxml2：ID 和 IDREF 属性的释放后使用漏洞 (CVE-2022-23308)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2021-2569 公告中提及的多个漏洞的影响。

  - libxml2 2.9.11 之前版本中的 xmllint 存在缺陷。如果攻击者能够提交构建的文件让 xmllint 进行处理，可能会触发 use-after-free（释放后使用）。此缺陷最大的影响对象在于机密性、完整性和可用性。(CVE-2021-3516)

  - libxml2 2.9.11 之前的版本中存在缺陷。如果攻击者能够提交构建的文件让与 libxml2 关联的应用程序进行处理，可能会触发 use-after-free（释放后使用）。此缺陷最大的影响对象在于机密性、完整性和可用性。(CVE-2021-3518)

  - 在 libxml2 2.9.11 之前的版本中发现了一个漏洞，该漏洞表明，在解析 XML 混合内容时未传播错误，从而导致空指针取消引用。如果在恢复模式下解析不受信任的 XML 文档并对其进行后验证，则可以利用该缺陷来导致应用程序崩溃。此漏洞最大的威胁在于系统可用性。(CVE-2021-3537)

  - libxml2 2.9.11 之前版本中的 xml 实体编码功能存在缺陷。如果攻击者能够提供构建的文件让与受影响的 libxml2 功能关联的应用程序进行处理，可能会触发越界读取。此缺陷最可能的影响对象在于应用程序可用性，如果攻击者能够使用内存信息来进一步利用该应用程序，则可能对机密性和完整性造成某些潜在影响。(CVE-2021-3517)

  - libxml2: 指数实体扩展攻击绕过所有现有保护机制 (CVE-2021-3541)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

据发现，libxml2 （一款提供支持读取、修改以及写入 XML 和 HTML 文件的库）中存在多个漏洞，这些漏洞会在解析特别构建的文件时通过应用程序崩溃造成拒绝服务。

对于 Debian 9 Stretch，已在版本 2.9.4+dfsg1-2.2+deb9u4 中修复这些问题。

我们建议您升级 libxml2 程序包。

如需了解 libxml2 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/libxml2

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程主机上安装的 libxml2 版本低于 2.9.1-6.6.42 。因此，如公告 ALAS-2023-1743 所述，该主机受到多个漏洞的影响。

  - 低于 2.9.5 版的 libxml2 中的 parser.c 未正确处理参数实体引用，因为如果 DTD 名称中存在 '%' 字符，则 NEXTL 宏会调用 xmlParserHandlePEReference 函数。(CVE-2017-16931)

  - GNOME 项目 libxml2 v2.9.10 在 libxml2/entities.c 的 xmlEncodeEntitiesInternal 中有一个全局缓冲区过度读取漏洞。此问题已在 commit 50f06b3e 中修复。(CVE-2020-24977)

  - libxml2 2.9.11 之前版本中的 xmllint 存在缺陷。如果攻击者能够提交构建的文件让 xmllint 进行处理，可能会触发 use-after-free（释放后使用）。此缺陷最大的影响对象在于机密性、完整性和可用性。(CVE-2021-3516)

  - libxml2 2.9.11 之前版本中的 xml 实体编码功能存在缺陷。如果攻击者能够提供构建的文件让与受影响的 libxml2 功能关联的应用程序进行处理，可能会触发越界读取。此缺陷最可能的影响对象在于应用程序可用性，如果攻击者能够使用内存信息来进一步利用该应用程序，则可能对机密性和完整性造成某些潜在影响。(CVE-2021-3517)

  - libxml2 2.9.11 之前的版本中存在缺陷。如果攻击者能够提交构建的文件让与 libxml2 关联的应用程序进行处理，可能会触发 use-after-free（释放后使用）。此缺陷最大的影响对象在于机密性、完整性和可用性。(CVE-2021-3518)

  - 在 libxml2 2.9.11 之前的版本中发现了一个漏洞，该漏洞表明，在解析 XML 混合内容时未传播错误，从而导致空指针取消引用。如果在恢复模式下解析不受信任的 XML 文档并对其进行后验证，则可以利用该缺陷来导致应用程序崩溃。此漏洞最大的威胁在于系统可用性。(CVE-2021-3537)

  - 在 libxml2 中发现一个缺陷。指数实体扩展攻击可能会绕过所有现有保护机制并导致拒绝服务 (CVE-2021-3541)

  - libxml2 2.9.13 之前版本的 valid.c 中存在释放后使用 ID 和 IDREF 属性问题。(CVE-2022-23308)

  - 在 2.9.14之前的 libxml2 中，buf.c (xmlBuf*) 和 tree.c (xmlBuffer*) 中的多个缓冲区处理函数未检查整数溢出。这可导致越界内存写入。利用漏洞需要受害者打开特制的数 GB XML 文件。其他使用 libxml2 缓冲区函数的软件，例如 libxslt 至 1.1.35，也会受到影响。 (CVE-2022-29824)

  - 在低于 2.10.3 版的 libxml2 中发现一个问题 。在启用 XML_PARSE_HUGE 解析器选项的情况下解析多 GB 的 XML 文档时，多个整数计数器可能溢出。这会导致尝试以负 2GB 偏移量访问数组，通常会引起分段错误。(CVE-2022-40303)

  - 在低于 2.10.3 版的 libxml2 中发现一个问题 。某些无效的 XML 实体定义可损坏哈希表密钥，从而可能导致后续出现逻辑错误。在一种情况下，可能会引发双重释放。(CVE-2022-40304)

  - 在 2.10.4 版之前的 libxml2 中，解析某些无效的 XSD 方案可导致空指针取消引用，并随后导致段错误。此问题存在于 xmlschemas.c 的 xmlSchemaFixupComplexType 中。(CVE-2023-28484)

  - 在低于 2.10.4 版的 libxml2 中发现一个问题 。当对构建的 XML 文档中的空 dict 字符串进行哈希处理时，dict.c 中的 xmlDictComputeFastKey 可产生非确定性值，从而导致各种逻辑和内存错误，例如双重释放。此问题之所以出现是因为攻击者尝试使用空字符串的第一个字节，并且可能使用任何值（不仅仅是“\0”值）。(CVE-2023-29469)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202107-05 中所述漏洞的影响（libxml2：多个漏洞）

    在 libxml2 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可引诱用户在链接到 libxml2 的应用程序中处理特别构建的文件，从而可能造成拒绝服务情形或取得敏感信息。
  变通方案：

    目前无任何已知的变通方案。

远程 Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 20.10 / 21.04 主机上安装的程序包受到 USN-4991-1 公告中提及的多个漏洞的影响。

  - libxml2 2.9.4 的 HTMLparser.c 中的 htmlParseTryOrFinish 函数允许攻击者造成拒绝服务（缓冲区读取越界）或信息泄露。(CVE-2017-8872)

  - libxml2 2.9.10 的 xmlschemas.c 中的 xmlSchemaPreRun 允许 xmlSchemaValidateStream 内存泄露。
    (CVE-2019-20388)

  - GNOME 项目 libxml2 v2.9.10 在 libxml2/entities.c 的 xmlEncodeEntitiesInternal 中有一个全局缓冲区过度读取漏洞。此问题已在 commit 50f06b3e 中修复。(CVE-2020-24977)

  - libxml2 2.9.11 之前版本中的 xmllint 存在缺陷。如果攻击者能够提交构建的文件让 xmllint 进行处理，可能会触发 use-after-free（释放后使用）。此缺陷最大的影响对象在于机密性、完整性和可用性。(CVE-2021-3516)

  - libxml2 2.9.11 之前版本中的 xml 实体编码功能存在缺陷。如果攻击者能够提供构建的文件让与受影响的 libxml2 功能关联的应用程序进行处理，可能会触发越界读取。此缺陷最可能的影响对象在于应用程序可用性，如果攻击者能够使用内存信息来进一步利用该应用程序，则可能对机密性和完整性造成某些潜在影响。(CVE-2021-3517)

  - libxml2 2.9.11 之前的版本中存在缺陷。如果攻击者能够提交构建的文件让与 libxml2 关联的应用程序进行处理，可能会触发 use-after-free（释放后使用）。此缺陷最大的影响对象在于机密性、完整性和可用性。(CVE-2021-3518)

  - 在 libxml2 2.9.11 之前的版本中发现了一个漏洞，该漏洞表明，在解析 XML 混合内容时未传播错误，从而导致空指针取消引用。如果在恢复模式下解析不受信任的 XML 文档并对其进行后验证，则可以利用该缺陷来导致应用程序崩溃。此漏洞最大的威胁在于系统可用性。(CVE-2021-3537)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2021: 2569 公告中提及的多个漏洞的影响。

  - libxml2: entities.c 的 xmlEncodeEntitiesInternal() 中存在释放后使用 (CVE-2021-3516)

  - libxml2: entities.c 的 xmlEncodeEntitiesInternal() 中存在基于堆的缓冲区溢出 (CVE-2021-3517)

  - libxml2: xinclude.c 的 xmlXIncludeDoProcess() 中存在释放后使用 (CVE-2021-3518)

  - libxml2: 在对恢复模式中解析的混合内容进行后验证时，存在空指针取消引用 (CVE-2021-3537)

  - libxml2: 指数实体扩展攻击绕过所有现有保护机制 (CVE-2021-3541)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 libxml2 版本低于 2.9.1-6 。因此，如公告 ALAS2-2021-1677 所述，该主机受到多个漏洞的影响。

  - libxml2 2.9.11 之前版本中的 xmllint 存在缺陷。如果攻击者能够提交构建的文件让 xmllint 进行处理，可能会触发 use-after-free（释放后使用）。此缺陷最大的影响对象在于机密性、完整性和可用性。(CVE-2021-3516)

  - libxml2 2.9.11 之前的版本中存在缺陷。如果攻击者能够提交构建的文件让与 libxml2 关联的应用程序进行处理，可能会触发 use-after-free（释放后使用）。此缺陷最大的影响对象在于机密性、完整性和可用性。(CVE-2021-3518)

  - 在 libxml2 2.9.11 之前的版本中发现了一个漏洞，该漏洞表明，在解析 XML 混合内容时未传播错误，从而导致空指针取消引用。如果在恢复模式下解析不受信任的 XML 文档并对其进行后验证，则可以利用该缺陷来导致应用程序崩溃。此漏洞最大的威胁在于系统可用性。(CVE-2021-3537)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2021: 2569 公告中提及的多个漏洞的影响。

  - libxml2: entities.c 的 xmlEncodeEntitiesInternal() 中存在释放后使用 (CVE-2021-3516)

  - libxml2: entities.c 的 xmlEncodeEntitiesInternal() 中存在基于堆的缓冲区溢出 (CVE-2021-3517)

  - libxml2: xinclude.c 的 xmlXIncludeDoProcess() 中存在释放后使用 (CVE-2021-3518)

  - libxml2: 在对恢复模式中解析的混合内容进行后验证时，存在空指针取消引用 (CVE-2021-3537)

  - libxml2: 指数实体扩展攻击绕过所有现有保护机制 (CVE-2021-3541)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程主机上运行的 macOS/Mac OS X 版本为低于 11.5 Big Sur 的 11.x。因此，该应用程序受到多个漏洞的影响，其中包括：

  - 应用程序可能以内核权限执行任意代码 (CVE-2021-30805)

  打开恶意构建的文件可能导致非预期应用程序终止或任意代码执行 (CVE-2021-30790)

  - 本地攻击者也许能够造成意外的应用程序终止或任意代码执行 (CVE-2021-30781)

请注意，Nessus 并未测试此问题，而是只依靠操作系统自我报告的版本号。

远程主机上安装的 Enterprise Manager Base Platform 13.4.0.0 和 13.5.0.0 版本受到 2022 年 4 月 CPU 公告中提及的多个漏洞影响。

  - Enterprise Manager Base Platform 的 Oracle Management Service 组件 (Apache Log4j) 中的漏洞。此漏洞易于利用，其允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏并接管 Enterprise Manager Base Platform。(CVE-2022-23305)

  - Enterprise Manager Base Platform 的 Enterprise Manager Install 组件 (libxml2) 中的漏洞。此漏洞易于利用，其允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏并接管 Enterprise Manager Base Platform。(CVE-2021-3518)

  - Enterprise Manager Base Platform 的 Enterprise Manager Install 组件 (Apache Log4j) 中的漏洞。此漏洞较难利用，其允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏并接管 Enterprise Manager Base Platform。(CVE-2021-44832)

  - Enterprise Manager Base Platform 的 UI Framework 组件中的漏洞。此漏洞易于利用，其允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Enterprise Manager Base Platform。若要成功发动攻击，必须与攻击者以外的其他人进行人工交互；虽然该漏洞存在于 Enterprise Manager Base Platform 中，但攻击可能对其他产品造成重大影响（范围更改）。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 Enterprise Manager Base Platform 可访问数据的访问权限。(CVE-2022-21469)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Windows 主机上安装的 Oracle MySQL Workbench 版本低于 8.0.27。因此，如公告所述，会受到多个漏洞的影响。

  - Oracle MySQL 的 MySQL Workbench 产品中存在漏洞（组件：MySQL Workbench (OpenSSL)）。支持的版本中受影响的是 8.0.26 和较早版本。难以利用的漏洞允许未经身份验证的攻击者通过 MySQL Workbench 进行网络访问，从而破坏 MySQL Workbench。成功攻击此漏洞可导致在未经授权的情况下访问重要数据或完整访问所有可供访问的 MySQL Workbench 数据，并且未经授权即可造成 MySQL Workbench 挂起或频繁出现崩溃（完全 DOS）。(CVE-2021-3712)

  - Oracle MySQL 的 MySQL Workbench 产品中存在漏洞（组件：MySQL Workbench (libxml2)）。支持的版本中受影响的是 8.0.26 和较早版本。利用此漏洞的难度较小，通过 MySQL Workbench 访问网络的未经身份验证的攻击者可利用此漏洞破坏 MySQL Workbench。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功利用此漏洞进行攻击可导致攻击者接管 MySQL Server。(CVE-2021-3518)

  - Oracle MySQL 的 MySQL Workbench 产品中存在漏洞（组件：MySQL Workbench (OpenSSL)）。支持的版本中受影响的是 8.0.26 和较早版本。难以利用的漏洞允许未经身份验证的攻击者通过 MySQL Workbench 进行网络访问，从而破坏 MySQL Workbench。成功攻击此漏洞可导致攻击者在未经授权的情况下访问重要数据或完整访问所有可供访问的 MySQL Workbench 数据，并且未经授权即可造成 MySQL Workbench 挂起或频繁出现崩溃（完全 DOS）。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
191152	CentOS 9：libxml2-2.9.12-4.el9	Nessus	CentOS Local Security Checks	2024/2/29	2024/4/26	high
175429	IBM Cognos Analytics 多个漏洞 (6986505)	Nessus	CGI abuses	2023/5/12	2023/7/27	critical
152037	Apple iOS < 14.7 多个漏洞 (HT212601)	Nessus	Mobile Devices	2021/7/23	2024/5/20	critical
170202	Oracle Enterprise Manager Ops Center UCE Patches（2021 年 10 月 CPU）	Nessus	Misc.	2023/1/20	2023/1/23	critical
177842	Nessus Network Monitor < 6.2.2 多个漏洞 (TNS-2023-23)	Nessus	Misc.	2023/6/30	2023/7/6	critical
194924	Splunk Enterprise 8.1 < 8.1.13、8.2.0 < 8.2.10、9.0.0 < 9.0.4 (SVD-2023-0215)	Nessus	CGI abuses	2024/5/2	2024/5/2	high
160030	RHEL 7 / 8：Red Hat JBoss Core Services Apache HTTP Server 2.4.37 SP11 (RHSA-2022: 1389)	Nessus	Red Hat Local Security Checks	2022/4/21	2024/6/4	critical
151359	Oracle Linux 8：libxml2 (ELSA-2021-2569)	Nessus	Oracle Linux Local Security Checks	2021/7/3	2023/12/11	high
149372	Debian DLA-2653-1：libxml2 安全更新	Nessus	Debian Local Security Checks	2021/5/11	2024/1/16	high
175091	Amazon Linux AMI：libxml2 (ALAS-2023-1743)	Nessus	Amazon Linux Local Security Checks	2023/5/4	2023/5/5	critical
156968	GLSA-202107-05：libxml2：多个漏洞	Nessus	Gentoo Local Security Checks	2022/1/24	2024/1/16	high
150858	Ubuntu 16.04 ESM / 18.04 LTS / 20.04 LTS：libxml2 漏洞 (USN-4991-1)	Nessus	Ubuntu Local Security Checks	2021/6/17	2023/10/16	critical
151142	RHEL 8：libxml2 (RHSA-2021: 2569)	Nessus	Red Hat Local Security Checks	2021/6/29	2024/4/28	high
151267	Amazon Linux 2：libxml2 (ALAS-2021-1677)	Nessus	Amazon Linux Local Security Checks	2021/7/1	2023/12/11	high
151363	CentOS 8：libxml2 (CESA-2021: 2569)	Nessus	CentOS Local Security Checks	2021/7/3	2023/12/11	high
152038	macOS 11.x < 11.5 (HT212602)	Nessus	MacOS X Local Security Checks	2021/7/23	2024/5/28	critical
160377	Oracle Enterprise Manager Cloud Control（2022 年 4 月 CPU）	Nessus	Misc.	2022/4/29	2023/10/31	critical
154655	Oracle MySQL Workbench < 8.0.27 多个漏洞（2021 年 10 月）	Nessus	Windows	2021/10/28	2023/11/27	high

检测

插件搜索

high

critical

critical

critical

critical

high

critical

high

high

critical

high

critical

high

high

high

critical

critical

high