したがって、ALAS2023-2025-1229 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    2.5.0 までの libexpat では、複数のバッファフィルが必要な大きなトークンの場合、多くのフルリパースが必要になるため、サービス拒否 (リソース消費) が可能です。

    Amazon Linux の安定性と CVE-2023-52425 の修正の影響との間のトレードオフを考慮すると、現時点では、Amazon Linux 2 の firefox および thunderbird に対する修正は提供されません。(CVE-2023-52425)

     2.5.0 までの libexpat により、XML_DTD がコンパイル時に未定義の場合、再帰的な XML エンティティ拡張が可能になります。

    Amazon Linux の安定性と CVE-2023-52426 の修正の影響との間のトレードオフを考慮すると、現時点では、Amazon Linux 2 の firefox および thunderbird に対する修正は提供されません。(CVE-2023-52426)

     2.6.1 までの libexpat により、外部パーサーXML_ExternalEntityParserCreate を介して作成の孤立使用が存在する場合、XML エンティティ拡張攻撃を引き起こすことができます。CVE-2024-28757

    XML ドキュメントで再帰エンティティ拡張を処理する方法により、libexpat ライブラリにスタックオーバーフローの脆弱性が存在します。深くネストしたエンティティ参照のある XML ドキュメントを解析するとき、libexpat が無期限に再帰するように強制され、スタックスペースを枯渇させ、クラッシュが発生する可能性があります。この問題により、サービス拒否 (DoS) が発生したり、環境やライブラリの使用状況によっては悪用可能なメモリ破損が発生したりする可能性があります。(CVE-2024-8176)

    2.7.2 より前の Expat の libexpat により、攻撃者が、解析のために送信される小さなドキュメントから、大きな動的メモリ割り当てをトリガできます。(CVE-2025-59375)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023xmlrpc-c、xmlrpc-c-apps、xmlrpc-c-c++ALAS2023-2025-1229

high Nessus プラグイン ID 271765

バージョン 1.2

バージョン 1.1

バージョン 1.2 Oct 30, 2025, 2:57 PM Exploit attributes ("Exploitability ease" changed from "No known exploits are available" to "Exploits are available") Plugin Feed: 202510301457
バージョン 1.1 Oct 28, 2025, 5:56 PM New Plugin Feed: 202510281756