リモートの openSUSE 15 ホストにインストールされているパッケージは、SUSE- SU-2023: 4464-1 のアドバイザリに記載されている脆弱性の影響を受けます。

  2.11.5 までの libxml2 には、特定のメモリ割り当てが失敗した後にのみ発生する可能性があるメモリ解放後使用 (Use After Free) があります。
    これは、tree.c の xmlUnlinkNode で発生します。注意: ベンダーの立場としては、これらの問題が CVE ID を正当化するほど重大であるとは考えていません。攻撃者は通常、メモリ割り当てが失敗するタイミングを制御できないからです。(CVE-2023-45322)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2023-411 のアドバイザリに記載されている脆弱性の影響を受けます。

  - ** 係争中 ** 2.11.5 までの libxml2 には、特定のメモリ割り当てが失敗した後にのみ発生する可能性があるメモリ解放後使用 (use-after-free) があります。これは、tree.c の xmlUnlinkNode で発生します。注意: ベンダーの立場としては、これらの問題が CVE ID を正当化するほど重大であるとは考えていません。攻撃者は通常、メモリ割り当てが失敗するタイミングを制御できないからです。(CVE-2023-45322)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2023:4505-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  2.11.5 までの libxml2 には、特定のメモリ割り当てが失敗した後にのみ発生する可能性があるメモリ解放後使用 (Use After Free) があります。
    これは、tree.c の xmlUnlinkNode で発生します。注意: ベンダーの立場としては、これらの問題が CVE ID を正当化するほど重大であるとは考えていません。攻撃者は通常、メモリ割り当てが失敗するタイミングを制御できないからです。(CVE-2023-45322)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされているlibxml2のバージョンは、2.9.1-6より前です。したがって、ALAS2-2023-2321 のアドバイザリに記載されている脆弱性の影響を受けます。

  - ** 係争中 ** 2.11.5 までの libxml2 には、特定のメモリ割り当てが失敗した後にのみ発生する可能性があるメモリ解放後使用 (use-after-free) があります。これは、tree.c の xmlUnlinkNode で発生します。注意: ベンダーの立場としては、これらの問題が CVE ID を正当化するほど重大であるとは考えていません。攻撃者は通常、メモリ割り当てが失敗するタイミングを制御できないからです。(CVE-2023-45322)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

リモートの SUSE Linux SLED15/ SLED_SAP15 / SLES15/ SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:4537-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  2.11.5 までの libxml2 には、特定のメモリ割り当てが失敗した後にのみ発生する可能性があるメモリ解放後使用 (Use After Free) があります。
    これは、tree.c の xmlUnlinkNode で発生します。注意: ベンダーの立場としては、これらの問題が CVE ID を正当化するほど重大であるとは考えていません。攻撃者は通常、メモリ割り当てが失敗するタイミングを制御できないからです。(CVE-2023-45322)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Azure Linux 3.0 ホストにインストールされている libxml2 のバージョンは、テスト済みバージョンより前です。したがって、CVE-2023-45322 のアドバイザリに記載されている脆弱性の影響を受けます。

  2.11.5 までの libxml2 には、特定のメモリ割り当てが失敗した後にのみ発生する可能性があるメモリ解放後使用 (Use After Free) があります。
    これは、tree.c の xmlUnlinkNode で発生します。注 : ベンダーの考え : 攻撃者は通常、メモリ割り当てが失敗したときにコントロールできないため、これらの問題は CVE ID を保証するのに十分な重大性があるとは考えられません。CVE-2023-45322

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 12 ホストには、dsa-5949 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-5949-1 security@debian.org https://www.debian.org/security/Aron Xu 2025 年 6 月 26 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ: libxml2 CVE ID: CVE-2022-49043 CVE-2023-39615 CVE-2023-45322 CVE-2024-25062 CVE-2024-34459 CVE-2024-56171 CVE-2025-24928 CVE-2025-27113 CVE-2025-32414 CVE-2025-32415 Debian バグ: 1051230 1053629 1063234 1071162 1094238 1098320 1098321 1098322 1102521 1103511

    概要


    GNOME XML パーサーおよび Toolkit ライブラリとその Python バインディングで、use-after-free、領域外メモリアクセス、NULL ポインターデリファレンスなど、メモリ関連の複数の脆弱性が発見されました。これにより、サービス拒否またはその他の意図しない動作が発生する可能性があります。

    安定版 (stable) ディストリビューション (bookworm) では、これらの問題はバージョン 2.9.14+dfsg-1.3~deb12u2 で修正されています。

    libxml2 パッケージをアップグレードすることを推奨します。

    libxml2 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/libxml2

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  2.11.5 までの libxml2 には、特定のメモリ割り当てが失敗した後にのみ発生する可能性があるメモリ解放後使用 (Use After Free) があります。
    これは、tree.c の xmlUnlinkNode で発生します。注 : ベンダーの考え : 攻撃者は通常、メモリ割り当てが失敗したときにコントロールできないため、これらの問題は CVE ID を保証するのに十分な重大性があるとは考えられません。CVE-2023-45322

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされているlibxml2のバージョンは、2.9.1-6.6.44より前です。したがって、ALAS-2023-1874 のアドバイザリに記載されている脆弱性の影響を受けます。

  - ** 係争中 ** 2.11.5 までの libxml2 には、特定のメモリ割り当てが失敗した後にのみ発生する可能性があるメモリ解放後使用 (use-after-free) があります。これは、tree.c の xmlUnlinkNode で発生します。注意: ベンダーの立場としては、これらの問題が CVE ID を正当化するほど重大であるとは考えていません。攻撃者は通常、メモリ割り当てが失敗するタイミングを制御できないからです。(CVE-2023-45322)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15/ SLED_SAP15 / SLES15/ SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:4504-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  2.11.5 までの libxml2 には、特定のメモリ割り当てが失敗した後にのみ発生する可能性があるメモリ解放後使用 (Use After Free) があります。
    これは、tree.c の xmlUnlinkNode で発生します。注意: ベンダーの立場としては、これらの問題が CVE ID を正当化するほど重大であるとは考えていません。攻撃者は通常、メモリ割り当てが失敗するタイミングを制御できないからです。(CVE-2023-45322)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 ホストには、dla-4064 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4064-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2025 年 2 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ: libxml2 バージョン: 2.9.10+dfsg-6.7+deb11u6 CVE ID: CVE-2022-49043 CVE-2023-39615 CVE-2023-45322 CVE-2024-25062 CVE-2024-56171 CVE-2025-24928 CVE-2025-27113 Debian バグ: 1051230 1053629 1063234 1094238 1098320 1098321 1098322

    XML および HTML ファイルの読み取り、変更および書き込みをサポートするライブラリである libxml2 で、複数の脆弱性が見つかりました。これらの脆弱性により、サービス拒否またはその他の意図しない動作が引き起こされる可能性があります。

    CVE-2022-49043

        2.11.0 以前の libxml2 の xinclude.c の xmlXIncludeAddNode に、メモリ解放後使用 (Use After Free) があります。

    CVE-2023-39615

        libxml2 v2.11.0 に、/libxml2/SAX2.c の xmlSAX2StartElement() 関数による領域外読み取りが含まれていることが発見されました。この脆弱性により、攻撃者が細工された XML ファイルの供給を介してサービス拒否 (DoS) を引き起こす可能性があります。注意: ベンダーは、この製品はカスタムコールバックを備えたレガシー SAX1 インターフェースをサポートしていないので、細工された入力がなくてもクラッシュが発生するという立場です。

    CVE-2023-45322

        2.11.5 までの libxml2 には、特定のメモリ割り当てが失敗した後にのみ発生する可能性があるメモリ解放後使用 (Use After Free) があります。これは、tree.c の xmlUnlinkNode で発生します。注意: ベンダーの見解は、これらの問題が CVE ID を正当化するほど重大ではないと考えています。
        通常、攻撃者はメモリ割り当てが失敗するタイミングを制御できないためです。

    CVE-2024-25062

        2.11.7 より前の libxml2 および 2.12.5 より前の 2.12.x で問題が検出されました。DTD 検証および XInclude 拡張を有効にして XML Reader インターフェースを使用する場合、細工された XML ドキュメントを処理すると、xmlValidatePopElement のメモリ解放後使用 (Use After Free) が発生する可能性があります。

    CVE-2024-56171

        2.12.10 より前および 2.13.6 より前の 2.13.x の libxml2 には、xmlschemas.c の xmlSchemaIDCFillNodeTables および xmlSchemaBubbleIDCNodeTables にメモリ解放後使用 (Use After Free) があります。これを悪用するには、細工された XML ドキュメントを特定の ID 制約のある XML スキーマに照らして検証するか、細工された XML スキーマを使用する必要があります。

    CVE-2025-24928

        2.12.10 より前および 2.13.6 より前の 2.13.x の libxml2 では、valid.c の xmlSnprintfElements にスタックベースのバッファオーバーフローがあります。これを悪用するには、信頼できないドキュメントまたは信頼できない DTD に対して DTD 検証が行われる必要があります。注意: これは CVE-2017-9047 に類似しています。

    CVE-2025-27113

        2.12.10 より前および 2.13.6 より前の 2.13.x の libxml2 では、pattern.c の xmlPatMatch に NULL ポインターデリファレンスがあります。

    Debian 11 bullseye においては、これらの問題はバージョン 2.9.10+dfsg-6.7+deb11u6 で修正されました。

    libxml2 パッケージをアップグレードすることを推奨します。

    libxml2 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/libxml2

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
185939	openSUSE 15 セキュリティ更新: libxml2 (SUSE-SU-2023:4464-1)	Nessus	SuSE Local Security Checks	2023/11/17	2023/11/17	medium
184430	Amazon Linux 2023 : libxml2、libxml2-devel、libxml2-static (ALAS2023-2023-411)	Nessus	Amazon Linux Local Security Checks	2023/11/4	2024/12/11	medium
186146	SUSE SLES12 セキュリティ更新プログラム: libxml2 (SUSE-SU-2023:4505-1)	Nessus	SuSE Local Security Checks	2023/11/22	2023/11/22	medium
184283	Amazon Linux 2: libxml2 (ALAS-2023-2321)	Nessus	Amazon Linux Local Security Checks	2023/11/2	2024/12/11	medium
186232	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: libxml2 (SUSE-SU-2023:4537-1)	Nessus	SuSE Local Security Checks	2023/11/24	2023/11/24	medium
216091	Azure Linux 3.0 セキュリティ更新libxml2CVE-2023-45322	Nessus	Azure Linux Local Security Checks	2025/2/11	2025/9/15	medium
240559	Debian dsa-5949: libxml2 - セキュリティ更新	Nessus	Debian Local Security Checks	2025/6/26	2025/6/26	high
260357	Linux Distros のパッチ未適用の脆弱性: CVE-2023-45322	Nessus	Misc.	2025/9/2	2025/9/30	medium
184392	Amazon Linux AMI : libxml2 (ALAS-2023-1874)	Nessus	Amazon Linux Local Security Checks	2023/11/3	2024/12/11	medium
186151	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: libxml2 (SUSE-SU-2023:4504-1)	Nessus	SuSE Local Security Checks	2023/11/22	2023/11/22	medium
216663	Debian dla-4064: libxml2 - セキュリティ更新	Nessus	Debian Local Security Checks	2025/2/22	2025/4/10	high

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

high

medium

medium

medium

high