远程主机上安装的 libxml2 版本低于 2.9.1-6 。因此，该应用程序受到 ALAS2-2023-2321 公告中提及的漏洞的影响。

  - ** 有争议 ** 2.11.5 版本之前的 libxml2 存在释放后使用漏洞，只会在某个内存分配失败后发生。这发生在 tree.c 的 xmlUnlinkNode 中。注意：供应商的立场是，我不认为这些问题严重到影响 CVE ID 的程度…因为攻击者通常无法控制内存分配失败的时间。(CVE-2023-45322)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 libxml2 版本低于 2.9.1-6.6.44 。因此，该应用程序受到 ALAS-2023-1874 公告中提及的漏洞的影响。

  - ** 有争议 ** 2.11.5 版本之前的 libxml2 存在释放后使用漏洞，只会在某个内存分配失败后发生。这发生在 tree.c 的 xmlUnlinkNode 中。注意：供应商的立场是，我不认为这些问题严重到影响 CVE ID 的程度…因为攻击者通常无法控制内存分配失败的时间。(CVE-2023-45322)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该应用程序受到 ALAS2023-2023-411 公告中提及的漏洞的影响。

  - ** 有争议 ** 2.11.5 版本之前的 libxml2 存在释放后使用漏洞，只会在某个内存分配失败后发生。这发生在 tree.c 的 xmlUnlinkNode 中。注意：供应商的立场是，我不认为这些问题严重到影响 CVE ID 的程度…因为攻击者通常无法控制内存分配失败的时间。(CVE-2023-45322)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5949 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5949-1 security@debian.org https://www.debian.org/security/Aron Xu 2025 年 6 月 26 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包: libxml2 版本 CVE ID : CVE-2022-49043 CVE-2023-39615 CVE-2023-45322 CVE-2024-25062 CVE-2024-34459 CVE-2024-56171 CVE-2025-24928 CVE-2025-27113 CVE-2025-32414 CVE-2025-32415 Debian 缺陷：1051230 1053629 1063234 1071162 1094238 1098320 1098321 1098322 1102521 1103511

    简介


    在 GNOME XML 解析器和 Toolkit 库及其 Python 绑定中发现多种与内存相关的漏洞，包括释放后使用、越界内存访问和空指针取消引用，可能会造成拒绝服务或其他非预期行为。

    对于稳定发行版本 (bookworm)，已在 2.9.14+dfsg-1.3~deb12u2 版本中修复这些问题。

    我们建议您升级 libxml2 程序包。

    如需了解 libxml2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libxml2

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202402-11 中所述漏洞的影响（libxml2：多个漏洞）

  - 在 2.10.4 版之前的 libxml2 中，解析某些无效的 XSD 方案可导致空指针取消引用，并随后导致段错误。此问题存在于 xmlschemas.c 的 xmlSchemaFixupComplexType 中。(CVE-2023-28484)

  - 在低于 2.10.4 版的 libxml2 中发现一个问题。当对构建的 XML 文档中的空 dict 字符串进行哈希处理时，dict.c 中的 xmlDictComputeFastKey 可产生非确定性值，从而导致各种逻辑和内存错误，例如双重释放。此问题之所以出现是因为攻击者尝试使用空字符串的第一个字节，并且可能使用任何值（不仅仅是“\0”值）。(CVE-2023-29469)

  -2.11.5 版本之前的 libxml2 存在释放后使用漏洞，只会在某个内存分配失败后发生。
    这发生在 tree.c 的 xmlUnlinkNode 中。注意：供应商的立场是，我不认为这些问题严重到影响 CVE ID 的程度…因为攻击者通常无法控制内存分配失败的时间。(CVE-2023-45322)

  - 在低于 2.11.7 和 2.12.x 至 2.12.5 版本的 libxml2 中发现一个问题。在启用了 DTD 验证和 XInclude 扩展的情况下使用 XML 阅读器接口时，处理构建的 XML 文档可导致 xmlValidatePopElement 释放后使用漏洞。(CVE-2024-25062)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4064 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4064-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2025 年 2 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包: libxml2 版本: 2.9.10+dfsg-6.7+deb11u6 CVE ID : CVE-2022-49043 CVE-2023-39615 CVE-2023-45322 CVE-2024-25062 CVE-2024-56171 CVE-2025-24928 CVE-2025-27113 Debian 缺陷: 1051230 1053629 1063234 1094238 1098320 1098321 1098322

    在 libxml2 (一款提供支持读取、修改以及写入 XML 和 HTML 文件的库)中存在多个漏洞。这些漏洞可能会导致拒绝服务或其他意外行为。

    CVE-2022-49043

        在 2.11.0 之前的 libxml2 中，xinclude.c 的 xmlXIncludeAddNode 存在释放后使用漏洞。

    CVE-2023-39615

        在 libxml2 v2.11.0 中发现由 /libxml2/SAX2.c 的 xmlSAX2StartElement() 函数引起的越界读取漏洞。攻击者可利用此漏洞，通过提供构建的 XML 文件造成拒绝服务 (DoS)。注意:供应商表示该产品不支持使用自定义回调的旧版 SAX1 接口；即使没有构建的输入，也会发生崩溃。

    CVE-2023-45322

        2.11.5 版本之前的 libxml2 存在释放后使用漏洞，只会在某个内存分配失败后发生。这发生在 tree.c 的 xmlUnlinkNode 中。注意:供应商的立场是，我不认为这些问题严重到影响 CVE ID 的程度…
        因为攻击者通常无法控制内存分配何时失败。

    CVE-2024-25062

        在低于 2.11.7 和 2.12.x 至 2.12.5 版本的 libxml2 中发现一个问题。在启用了 DTD 验证和 XInclude 扩展的情况下使用 XML 阅读器接口时，处理构建的 XML 文档可导致 xmlValidatePopElement 释放后使用漏洞。

    CVE-2024-56171

        对于 2.12.10 之前的 libxml2 和 2.13.6 之前的 2.13.x，xmlschemas.c 中的 xmlSchemaIDCFillNodeTables 和 xmlSchemaBubbleIDCNodeTables 存在释放后使用。要利用此问题，必须根据包含特定身份限制的 XML 方案对构建的 XML 文档进行验证，或者必须使用构建的 XML 方案。

    CVE-2025-24928

        对于 2.12.10 之前的 libxml2 和 2.13.6 之前的 2.13.x，valid.c 中的 xmlSnprintfElements 存在基于堆栈的缓冲区溢出。要利用此问题，必须对不受信任的文档或不受信任的 DTD 进行 DTD 验证。注意:此问题类似于 CVE-2017-9047。

    CVE-2025-27113

        对于 2.12.10 之前的 libxml2 和 2.13.6 之前的 2.13.x，pattern.c 中的 xmlPatMatch 存在空指针取消引用。

    对于 Debian 11 bullseye，已在 2.9.10+dfsg-6.7+deb11u6 版本中修复这些问题。

    我们建议您升级 libxml2 程序包。

    如需了解 libxml2 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/libxml2

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  -2.11.5 版本之前的 libxml2 存在释放后使用漏洞，只会在某个内存分配失败后发生。
    这发生在 tree.c 的 xmlUnlinkNode 中。注意供应商的观点是 我认为这些问题的严重程度不足以保证 CVE ID ... 因为攻击者通常无法控制内存分配何时失败。 (CVE-2023-45322)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

AlmaLinux 9.6 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.6：CLSA-2026：2026：1775731413公告中提及的多个漏洞的影响。

  -2.11.5 版本之前的 libxml2 存在释放后使用漏洞，只会在某个内存分配失败后发生。
    这发生在 tree.c 的 xmlUnlinkNode 中。注意：供应商的立场是，我认为这些问题危急不足以保证提供 CVE ID......因为攻击者通常无法控制内存分配失败的时间。（CVE-2023-45322）

  - 在 之前和2.12.x之前2.12.7的 xmllint（从 libxml2）2.11.8中发现一个问题。xmllint --htmlout 的格式错误消息可导致 xmllint.c 的 xmlHTMLPrintFileContext 中的缓冲区过度读取。
    (CVE-2024-34459)

  - 在 libxml2 及之前 2.14.5版本中发现一个漏洞。已将此漏洞声明为“有问题”。该漏洞影响组件 xmlcatalog 的函数 xmlParseSGMLCatalog。该操作导致不受控制的递归。本地攻击是一项要求。该漏洞已被公开并可被使用。目前对该漏洞的真实存在性仍存疑。代码维护人员解释说，只有通过不受信任的 SGML 目录才能触发此问题，使用不受信任的目录绝对没有意义。我还怀疑是否有人仍在使用 SGML 目录。（CVE-2025-8732）

  - 在 libxml2 的 RelaxNG 解析器中发现一个与如何处理外部方案包含相关的缺陷。解析嵌套指令时，解析器未强制限制包含深度 <include> 。特别构建的或过于复杂的方案可在解析期间造成过多递归。这可能导致堆栈耗尽和应用程序崩溃，造成拒绝服务风险。（CVE-2026-0989）

  - 在 XML 解析库 libxml2 中发现一个缺陷。当 XML 目录包含引用自身的委托 URI 条目时，xmlCatalogXMLResolveURI 函数中会出现此不受控制的递归漏洞。远程攻击者可利用此配置有关的问题，通过提供特别构建的 XML 目录导致无限递归和调用堆栈耗尽。这最终导致分段错误，通过使受影响的应用程序崩溃而造成拒绝服务 （DoS）。（CVE-2026-0990）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Rocky Linux 9.6 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.6：CLSA-2026：2026：1775731413公告中提及的多个漏洞的影响。

  -2.11.5 版本之前的 libxml2 存在释放后使用漏洞，只会在某个内存分配失败后发生。
    这发生在 tree.c 的 xmlUnlinkNode 中。注意：供应商的立场是，我认为这些问题危急不足以保证提供 CVE ID......因为攻击者通常无法控制内存分配失败的时间。（CVE-2023-45322）

  - 在 之前和2.12.x之前2.12.7的 xmllint（从 libxml2）2.11.8中发现一个问题。xmllint --htmlout 的格式错误消息可导致 xmllint.c 的 xmlHTMLPrintFileContext 中的缓冲区过度读取。
    (CVE-2024-34459)

  - 在 libxml2 及之前 2.14.5版本中发现一个漏洞。已将此漏洞声明为“有问题”。该漏洞影响组件 xmlcatalog 的函数 xmlParseSGMLCatalog。该操作导致不受控制的递归。本地攻击是一项要求。该漏洞已被公开并可被使用。目前对该漏洞的真实存在性仍存疑。代码维护人员解释说，只有通过不受信任的 SGML 目录才能触发此问题，使用不受信任的目录绝对没有意义。我还怀疑是否有人仍在使用 SGML 目录。（CVE-2025-8732）

  - 在 libxml2 的 RelaxNG 解析器中发现一个与如何处理外部方案包含相关的缺陷。解析嵌套指令时，解析器未强制限制包含深度 <include> 。特别构建的或过于复杂的方案可在解析期间造成过多递归。这可能导致堆栈耗尽和应用程序崩溃，造成拒绝服务风险。（CVE-2026-0989）

  - 在 XML 解析库 libxml2 中发现一个缺陷。当 XML 目录包含引用自身的委托 URI 条目时，xmlCatalogXMLResolveURI 函数中会出现此不受控制的递归漏洞。远程攻击者可利用此配置有关的问题，通过提供特别构建的 XML 目录导致无限递归和调用堆栈耗尽。这最终导致分段错误，通过使受影响的应用程序崩溃而造成拒绝服务 （DoS）。（CVE-2026-0990）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Azure Linux 3.0 主机上安装的 libxml2 版本低于 测试的版本。因此，该程序受到 CVE-2023-45322 公告中提及的一个漏洞影响。

  -2.11.5 版本之前的 libxml2 存在释放后使用漏洞，只会在某个内存分配失败后发生。
    这发生在 tree.c 的 xmlUnlinkNode 中。注意供应商的观点是 我认为这些问题的严重程度不足以保证 CVE ID ... 因为攻击者通常无法控制内存分配何时失败。 (CVE-2023-45322)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

CentOS Linux 7.9 主机上安装的多个程序包受到 CIQ ciqsa-2026_0710 公告中提及的多个漏洞影响。

    此公告汇总了 CIQ CentOS Bridge 7.9中 libxml2 SRPM 的安全补丁。它解决了 15 个 CVE： CVE-2024-25062、 CVE-2023-39615、 CVE-2017-9048、 CVE-2017-0663、 和 CVE-2017-905010 个以上。

Tenable 已直接从 CIQ 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

CentOS Linux 7 主机上存在安装的程序包，该程序包受到 TuxCare CENTOS7：CLSA-2026：1781619427 1公告中提及的多个漏洞的影响。

  - 在 libxml2 2.9.11 之前的版本中发现了一个漏洞，该漏洞表明，在解析 XML 混合内容时未传播错误，从而导致空指针取消引用。如果在恢复模式下解析不受信任的 XML 文档并对其进行后验证，则可以利用该缺陷来导致应用程序崩溃。此漏洞最大的威胁在于系统可用性。(CVE-2021-3537)

  - 在 libxml2 中发现一个缺陷。指数实体扩展攻击可能会绕过所有现有保护机制并导致拒绝服务 (CVE-2021-3541)

  - 在 2.9.14之前的 libxml2 中，buf.c (xmlBuf*) 和 tree.c (xmlBuffer*) 中的多个缓冲区处理函数未检查整数溢出。这可导致越界内存写入。利用漏洞需要受害者打开特制的数 GB XML 文件。其他使用 libxml2 缓冲区函数的软件，例如 libxslt 至 1.1.35，也会受到影响。 (CVE-2022-29824)

  - 在 2.10.4 版之前的 libxml2 中，解析某些无效的 XSD 方案可导致空指针取消引用，并随后导致段错误。此问题存在于 xmlschemas.c 的 xmlSchemaFixupComplexType 中。(CVE-2023-28484)

  - 在低于 2.10.4 版的 libxml2 中发现一个问题。当对构建的 XML 文档中的空 dict 字符串进行哈希处理时，dict.c 中的 xmlDictComputeFastKey 可产生非确定性值，从而导致各种逻辑和内存错误，例如双重释放。此问题之所以出现是因为攻击者尝试使用空字符串的第一个字节，并且可能使用任何值（不仅仅是“\0”值）。(CVE-2023-29469)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
184283	Amazon Linux 2：libxml2 (ALAS-2023-2321)	Nessus	Amazon Linux Local Security Checks	2023/11/2	2024/12/11	medium
184392	Amazon Linux AMI：libxml2 (ALAS-2023-1874)	Nessus	Amazon Linux Local Security Checks	2023/11/3	2024/12/11	medium
184430	Amazon Linux 2023：libxml2, libxml2-devel, libxml2-static (ALAS2023-2023-411)	Nessus	Amazon Linux Local Security Checks	2023/11/4	2024/12/11	medium
240559	Debian dsa-5949：libxml2 - 安全更新	Nessus	Debian Local Security Checks	2025/6/26	2026/1/21	high
190354	GLSA-202402-11：libxml2: 多个漏洞	Nessus	Gentoo Local Security Checks	2024/2/9	2024/2/13	high
216663	Debian dla-4064 : libxml2 - 安全更新	Nessus	Debian Local Security Checks	2025/2/22	2025/10/17	critical
260357	Linux Distros 未修补的漏洞：CVE-2023-45322	Nessus	Misc.	2025/9/2	2026/8/6	medium
360989	AlmaLinux 9.6 [TuxCare] 安全更新：libxml2 / libxml2-devel / libxml2-static / python3-libxml2 多个漏洞（ALMALINUX9.6：CLSA-2026：1775731413）	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/1	medium
361221	Rocky Linux 9.6 [TuxCare] 安全更新：libxml2 / libxml2-devel / libxml2-static / python3-libxml2 多个漏洞（ALMALINUX9.6：CLSA-2026：1775731413）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	medium
216091	Azure Linux 3.0 安全更新libxml2 (CVE-2023-45322)	Nessus	Azure Linux Local Security Checks	2025/2/11	2025/9/15	medium
356436	CentOS Linux 7.9 [CIQ] 安全更新：libxml2 / libxml2-debuginfo / libxml2-devel / libxml2-python / 等多个漏洞（ciqsa-2026_0710）	Nessus	CentOS Local Security Checks	2026/10/1	2026/10/12	critical
360723	CentOS Linux 7 [TuxCare] 安全更新：libxml2 / libxml2-devel / libxml2-python / libxml2-static 多个漏洞（CENTOS7：CLSA-2026：1781619427）	Nessus	CentOS Local Security Checks	2026/10/1	2026/10/1	critical

检测

插件搜索

medium

medium

medium

high

high

critical

medium

medium

medium

medium

critical

critical