リモートホストにインストールされている perl-XML-Parser のバージョンは、2.41-10 より前です。したがって、ALAS2-2026-3230 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Perl 用の XML::Parser バージョン 2.47 までが、事前割り当てバッファサイズのオーバーフローにより、ヒープ破損 (二重解放または破損) やクラッシュを引き起こす可能性があります。

    :utf8 PerlIO レイヤー、Expat.xs の parse_stream() は、XML 入力バッファをオーバーフローさせる可能性があります。これは、Perl の read() がデコードされた文字を返すのに対し、SvPV() は事前割り当てされたバッファサイズを超える可能性があるマルチバイト UTF-8 バイトを返すためです。これにより、ヒープ破損 (二重解放または破損) やクラッシュを引き起こす可能性があります。
    (CVE-2006-10002)

    Perl 用の XML::Parser バージョン 2.47 まで、st_serial_stack に off-by-one のヒープバッファオーバーフローがあります。

    (stackptr == stacksize - 1) の場合、スタックは拡張されません。その場合、新しい値は位置 (++stackptr) に書き込まれ、stacksize と同値になるため、割り当てられたバッファの外側に位置します。

    非常に深い要素のネストを持つ XML ファイルを解析する際に、このバグは確認できます。(CVE-2006-10003)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2 : perl-XML-Parser, --advisory ALAS2-2026-3230 (ALAS-2026-3230)

critical Nessus プラグイン ID 306282

バージョン 1.1