远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 1827 公告中提及的多个漏洞的影响。

  - libxml2: xpath.c 的 xmlXPathCompOpEval() 函数中存在空指针取消引用 (CVE-2018-14404)

  - libxml2: xzlib.c 的 xz_decomp 函数中发生无限循环 (CVE-2018-9251)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2020-1827 公告中提及的多个漏洞的影响。

  - 在 xpath.c 中存在空指针取消引用漏洞：libxml2 2.9.8 及之前版本的 xpath.c:xmlXPathCompOpEval() 函数中存在空指针取消引用漏洞。
    使用 libxml2 库处理不受信任的 XSL 格式输入的应用程序容易受到应用程序崩溃所导致的拒绝服务攻击。(CVE-2018-14404)

  - 在使用 --with-lzma 的情况下，libxml2 2.9.8 的 xzlib.c 中的 xz_decomp 函数允许远程攻击者通过能触发 LZMA_MEMLIMIT_ERROR 的已构建 XML 文件造成拒绝服务（无限循环），xmllint 即为一例，该漏洞不同于 CVE-2015-8035。(CVE-2018-9251)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

CVE-2018-14404 修复了可能会造成崩溃，并进而造成拒绝服务的空指针取消引用。CVE-2018-14567 和 CVE-2018-9251 修正 LZMA 错误处理，防止无限循环。CVE-2017-18258 将可用内存限制为 100MB，防止因恶意文件彻底耗尽内存。对于 Debian 8“Jessie”，这些问题已在 2.9.1+dfsg1-5+deb8u7 版本中修复。我们建议您升级 libxml2 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

根据其自我报告的版本，远程主机上运行的 Nessus Network Monitor 版本低于 6.2.2 版。因此，它受到 TNS-2023-23 公告中提及的多个漏洞影响。已发现多个第三方组件包含漏洞，供应商已提供更新版本。出于谨慎考虑且符合最佳实践，Tenable 选择升级这些组件，以解决这些问题的潜在影响。Nessus Network Monitor 6.2.2 更新了以下组件：

  - 将 c-ares 版本从 1.10.0 更新到 1.19.1。
  - 将 curl 版本从 7.79.1 更新到 8.1.2。
  - 将 libbzip2 版本从 1.0.6 更新到 1.0.8。
  - 将 libpcre 版本从 8.42 更新到 8.44。
  - 将 libxml2 版本从 2.7.7 更新到 2.11.1。
  - 将 libxslt 版本从 1.1.26 更新到 1.1.37。
  - 将 libxmlsec 版本从 1.2.18 更新到 1.2.37。
  - 将 sqlite 版本从 3.27.2 更新到 3.40.1。
  - 将 jQuery Cookie 版本从 1.3.1 更新到 1.4.1。
  - 将 jQuery UI 版本从 1.13.0 更新到 1.13.2。
  - 将 OpenSSL 版本从 3.0.8 更新到 3.0.9。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2020: 1827 公告中提及的多个漏洞的影响。

  - libxml2：xpath.c 的 xmlXPathCompOpEval() 函数中存在空指针取消引用 (CVE-2018-14404)

  - libxml2：xzlib.c 的 xz_decomp 函数中发生无限循环 (CVE-2018-9251)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

根据其自我报告的版本号，远程 Juniper Junos 设备受到 libxml2 中多个漏洞影响：- 低于 2.9.4 的 libxml2 中存在格式字符串漏洞，允许攻击者通过未知向量中的格式字符串说明符产生不明影响。(CVE-2016-4448) - 当在恢复模式下使用时，2.9.3 及更早版本之 libxml2 内的 tree.c 中的 xmlStringGetNodeList 函数允许环境相关的攻击者通过特制的 XML 文档造成拒绝服务（无线递归、堆栈消耗和应用程序崩溃）。(CVE-2016-3627)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
143009	RHEL 8：libxml2 (RHSA-2020: 1827)	Nessus	Red Hat Local Security Checks	2020/11/18	2024/4/28	high
180991	Oracle Linux 8：libxml2 (ELSA-2020-1827)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/7	high
117811	Debian DLA-1524-1：libxml2 安全更新	Nessus	Debian Local Security Checks	2018/9/28	2021/1/11	high
177842	Nessus Network Monitor < 6.2.2 多个漏洞 (TNS-2023-23)	Nessus	Misc.	2023/6/30	2023/7/6	critical
145930	CentOS 8：libxml2 (CESA-2020: 1827)	Nessus	CentOS Local Security Checks	2021/2/1	2024/1/24	high
121070	Junos OS：libxml2 中的多个漏洞 (JSA10916)	Nessus	Junos Local Security Checks	2019/1/11	2021/2/9	critical

检测

插件搜索

high

high

high

critical

high

critical