リモートの Ubuntu 20.04 LTS / 22.04 LTS / 22.10 ホストには、USN-6102-1のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - xmldom は、純粋な JavaScript W3C 標準ベース (XML DOM Level 2 Core) の DOMParser および XMLSerializer モジュールです。
    xmldom バージョン 0.4.0 以前では、悪意を持って細工されたドキュメントを繰り返し解析およびシリアル化すると、システム識別子、FPI、または名前空間が正しく保存されません。これにより、一部のダウンストリームアプリケーションで、XML 処理中に予期しない構文変更が発生する可能性があります。これはバージョン0.5.0で修正されました。回避策として、ダウンストリームアプリケーションで入力を検証し、悪意を持って細工されたドキュメントを拒否することができます。
    (CVE-2021-21366)

  - p 変数を介した Node.js の 0.8.3より前の xmldom (@xmldom/xmldom として公開済み) パッケージの dom.js の関数 copy にプロトタイプ汚染の脆弱性が存在します。注意:  ベンダーは、弊社がこのレポートを無効とする手続きを行っていると述べています。ただし、一部のサードパーティは、プロトタイプインジェクション/プロトタイプの汚染は、グローバルオブジェクトが再帰マージまたはディープクローンで汚染されるだけでなく、ターゲットオブジェクトが汚染される場合もあると考えています。(CVE-2022-37616)

  - xmldom は、純粋な JavaScript W3C 標準ベース (XML DOM Level 2 Core) の「DOMParser」および「XMLSerializer」モジュールです。xmldom は、複数のトップレベル要素が含まれているために形式が正しくない XML を解析し、エラーやスローを報告せずに、すべてのルートノードを「Document」の「childNodes」コレクションに追加します。これによって、ツリーに単一のルートノードしかないという仮定が崩れ、依存関係の問題である可能性があるため、CVE-2022-39299の発行を引き起こしました。@xmldom/xmldom@~0.7.7、@xmldom/xmldom@~0.8.4 (dist-tag latest) または@xmldom/xmldom@>=0.9.0-beta.4 (dist-tag next) に更新してください。回避策として、ユースケースに応じて次のいずれかの方法を行ってください: DOM 全体で要素を検索する代わりに、「documentElement」のみを検索するか、「childNode」が 2 つ以上あるドキュメントを拒否します。(CVE-2022-39353)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Ubuntu 20.04 LTS / 22.04 LTS : xmldom の脆弱性 (USN-6102-1)

critical Nessus プラグイン ID 176324

バージョン 1.1