Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - xmldom は、純粋な JavaScript W3C 標準ベース (XML DOM Level 2 Core) の「DOMParser」および「XMLSerializer」モジュールです。xmldom は、複数のトップレベル要素が含まれているために形式が正しくない XML を解析し、エラーやスローを報告せずに、すべてのルートノードを「Document」の「childNodes」コレクションに追加します。これによって、ツリーに単一のルートノードしかないという仮定が崩れ、依存関係の問題である可能性があるため、CVE-2022-39299の発行を引き起こしました。@xmldom/xmldom@~0.7.7、@xmldom/xmldom@~0.8.4 (dist-tag latest) または@xmldom/xmldom@>=0.9.0-beta.4 (dist-tag next) に更新してください。回避策として、お使いのユースケースに応じて、次のいずれかのアプローチを使用してください。DOM 全体で要素を検索する代わりに、「documentElement」内のみを検索する、または 1 つ以上の「childNode」を持つドキュメントを持つドキュメントを拒否します。CVE-2022-39353

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2022-39353

critical Nessus プラグイン ID 259519

バージョン 1.8