したがって、ALAS2023-2023-163 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 2.10.4 より前の libxml2 で、特定の無効な XSD スキーマを解析すると、NULL ポインターデリファレンスが発生し、続いてセグメンテーション違反が発生する可能性があります。これは、xmlschemas.c の xmlSchemaFixupComplexType で発生します。(CVE-2023-28484)

  - 2.10.4より前の libxml2 で問題が発見されました。細工された XML ドキュメントで空の dict 文字列をハッシュするとき、dict.c の xmlDictComputeFastKey が非決定的な値を生成し、二重解放などのさまざまなロジックおよびメモリエラーを引き起こす可能性があります。この動作が発生するのは、空の文字列の最初のバイトを使用しようとする試みがあり、任意の値 (「\0」値だけではない) が可能であるためです。(CVE-2023-29469)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Amazon Linux 2023 : libxml2、libxml2-devel、libxml2-static (ALAS2023-2023-163)

medium Nessus プラグイン ID 175081

バージョン 1.2