リモートの SUSE Linux SLED15 / SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:2908-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - NULL ポインターデリファレンスにより、攻撃者がサービス拒否 (またはアプリケーションクラッシュ) を引き起こす可能性があります。これは、lxml が libxml2 2.9.10から 2.9.14と共に使用される場合にのみ適用されます。libxml2 2.9.9以前は影響を受けません。これにより、アプリケーションで脆弱なコードシーケンスが与えられると、偽造された入力データを介してクラッシュが発生する可能性があります。脆弱性の原因は iterwalk 関数です (canonicalize 関数でも使用されます)。通常、解析+ iterwalk がより効率的な iterparse 関数に置き換えられることを考えると、このようなコードは広範囲に使用されるべきではありません。しかし、たとえば、C14N にシリアル化する XML コンバーターも脆弱であり、このコードシーケンスには正当な使用例があります。信頼できない入力が (リモートでも) 受信され、iterwalk 関数を介して処理されると、クラッシュがトリガーされる可能性があります。
    (CVE-2022-2309)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: python-lxml (SUSE-SU-2022:2908-1)

high Nessus プラグイン ID 164469

バージョン 1.5