LibreOffice 6.4に必要な1.2.29に更新してください。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

自己報告されたバージョンによると、リモートホストで実行されている Nessus Network Monitor は、6.2.2 より前です。したがって、TNS-2023-23 のアドバイザリに記載されている複数の脆弱性の影響を受けます。サードパーティコンポーネントのいくつかに脆弱性が含まれていることが判明し、プロバイダーにより更新バージョンが利用可能になっています。警戒するため、最適な実施基準に従って、Tenable はこれらのコンポーネントをアップグレードし、この問題の潜在的な影響に対処することにしました。Nessus Network Monitor 6.2.2 は、以下のコンポーネントを更新します。

  - c-ares のバージョン 1.10.0 からバージョン 1.19.1。
  - curl のバージョン 7.79.1 からバージョン 8.1.2。
  - libbzip2 のバージョン 1.0.6 からバージョン 1.0.8。
  - libpcre のバージョン 8.42 からバージョン 8.44。
  - libxml2 のバージョン 2.7.7 からバージョン 2.11.1。
  - libxslt のバージョン 1.1.26 からバージョン 1.1.37。
  - libxmlsec のバージョン 1.2.18 からバージョン 1.2.37。
  - sqlite のバージョン 3.27.2 からバージョン 3.40.1。
  - jQuery Cookie のバージョン 1.3.1 からバージョン 1.4.1。
  - jQuery UI のバージョン 1.13.0 からバージョン 1.13.2。
  - OpenSSL のバージョン 3.0.8 からバージョン 3.0.9。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - xmlsec 1.2.23 およびそれ以前は、細工された入力ドキュメントを解析する際の XML 外部エンティティ拡張に対して脆弱であり、その結果、情報漏洩またはサービス拒否が発生する可能性があります (CVE-2017-1000061)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

出典: Red Hatセキュリティアドバイザリ2017:2492:xmlsec1の更新がRed Hat Enterprise Linux 7用に入手可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。XML Security Libraryは、LibXML2とOpenSSLに基づくCライブラリです。このライブラリは、主要なXMLセキュリティ標準である「XMLデジタル署名」と「XML暗号化」をサポートする目的で作成されました。セキュリティ修正：* xmlsec1がlibxml2を使用することで、検証および外部エンティティ拡張（XXE）が誤って有効になっていたことが発見されました。攻撃者がXMLファイルを作成することにより、xmlsec1にローカルファイルやHTTP/FTP URLの読み込みを試行させ、情報漏えいやサービス拒否を引き起こす可能性があります。（CVE-2017-1000061）

xmlsec1の更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。XML Security Libraryは、LibXML2とOpenSSLに基づくCライブラリです。このライブラリは、主要なXMLセキュリティ標準である「XMLデジタル署名」と「XML暗号化」をサポートする目的で作成されました。セキュリティ修正：* xmlsec1がlibxml2を使用することで、検証および外部エンティティ拡張（XXE）が誤って有効になっていたことが発見されました。攻撃者がXMLファイルを作成することにより、xmlsec1にローカルファイルやHTTP/FTP URLの読み込みを試行させ、情報漏えいやサービス拒否を引き起こす可能性があります。（CVE-2017-1000061）

xmlsec1がlibxml2を使用することで、検証および外部エンティティ拡張 (XXE) が誤って有効になっていたことがわかりました。攻撃者がXMLファイルを作成することにより、xmlsec1にローカルファイルやHTTP/FTP URLの読み込みを試行させ、情報漏洩やサービス拒否を引き起こす可能性があります。 (CVE-2017-1000061)

リモートの Ubuntu 16.04 ESM ホストには、USN-5674-1 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - xmlsec 1.2.23 およびそれ以前は、細工された入力ドキュメントを解析する際の XML 外部エンティティ拡張に対して脆弱であり、その結果、情報漏洩またはサービス拒否が発生する可能性があります (CVE-2017-1000061)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

セキュリティ修正プログラム:

  - xmlsec1がlibxml2を使用することで、検証および外部エンティティ拡張（XXE）が誤って有効になっていたことがわかりました。攻撃者がXMLファイルを作成することにより、xmlsec1にローカルファイルやHTTP/FTP URLの読み込みを試行させ、情報漏洩やサービス拒否を引き起こす可能性があります。（CVE-2017-1000061）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
133427	Fedora 31：xmlsec1（2020-9573355ff4）	Nessus	Fedora Local Security Checks	2020/2/3	2024/3/28	high
177842	Nessus Network Monitor < 6.2.2 複数の脆弱性 (TNS-2023-23)	Nessus	Misc.	2023/6/30	2023/7/6	critical
220133	Linux Distros のパッチ未適用の脆弱性: CVE-2017-1000061	Nessus	Misc.	2025/3/4	2025/3/4	high
102633	Oracle Linux 7：xmlsec1（ELSA-2017-2492）	Nessus	Oracle Linux Local Security Checks	2017/8/22	2024/10/23	high
102881	CentOS 7：xmlsec1（CESA-2017:2492）	Nessus	CentOS Local Security Checks	2017/9/1	2022/12/5	high
103224	Amazon Linux AMI：xmlsec1 (ALAS-2017-890)	Nessus	Amazon Linux Local Security Checks	2017/9/15	2022/12/5	high
166108	Ubuntu 16.04ESM: XML Security Library の脆弱性 (USN-5674-1)	Nessus	Ubuntu Local Security Checks	2022/10/14	2024/8/28	high
102634	RHEL 7：xmlsec1（RHSA-2017:2492）	Nessus	Red Hat Local Security Checks	2017/8/22	2024/11/5	high
102677	Scientific Linux セキュリティ更新: SL7.x x86_64のxmlsec1（20170821）	Nessus	Scientific Linux Local Security Checks	2017/8/22	2022/12/5	high

検出

プラグインの検索

high

critical

high

high

high

high

high

high

high