来自 Red Hat 安全公告 2014:0513：

更新后的 libxml2 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

libxml2 库是提供各种 XML 标准实现的开发工具箱。

已发现 libxml2 加载了外部参数实体，即使在禁用实体替换时也是如此。能够向链接至 libxml2 的应用程序提供特别构建的 XML 文件的远程攻击者，可利用此缺陷执行 XML 外部实体 (XXE) 攻击，从而可能导致拒绝服务或系统中的信息泄漏。(CVE-2014-0191)

在 libxml2 检测 XML 文件末端的方式中发现越界读取缺陷。远程攻击者可提供特别构建的 XML 文件，当与 libxml2 链接的应用程序处理该文件时，可导致该应用程序崩溃。(CVE-2013-2877)

CVE-2014-0191 问题由 Red Hat 的 Daniel P. Berrange 发现。

建议所有 libxml2 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动（注销，然后再登录）桌面才能使此更新生效。

已发现 libxml2 加载了外部参数实体，即使在禁用实体替换时也是如此。能够向链接至 libxml2 的应用程序提供特别构建的 XML 文件的远程攻击者，可利用此缺陷执行 XML 外部实体 (XXE) 攻击，从而可能导致拒绝服务或系统中的信息泄漏。(CVE-2014-0191)

在 libxml2 检测 XML 文件末端的方式中发现越界读取缺陷。远程攻击者可提供特别构建的 XML 文件，当与 libxml2 链接的应用程序处理该文件时，可导致该应用程序崩溃。(CVE-2013-2877)

必须重新启动（注销，然后再登录）桌面才能使此更新生效。

a. VMware vCSA 跨站脚本漏洞

VMware vCenter Server Appliance (vCSA) 包含可能允许跨站脚本的漏洞。利用 vCenter Server 中的此漏洞需要诱骗用户点击恶意链接或打开恶意网页。

VMware 在此感谢 Trustwave SpiderLabs 的 Tanya Secker 向我们报告此问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为此问题分配名称 CVE-2014-3797。

b. vCenter Server 证书验证问题

vCenter Server 在与 ESXi 主机上驻留的 CIM Server 建立连接时未正确验证所提供的证书。这可允许针对 CIM 服务的中间人攻击。

VMware 在此感谢 Google 安全团队向我们报告此问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为此问题分配标识符 CVE-2014-8371。

c. ESXi libxml2 程序包的更新

libxml2 已更新，解决了多个安全问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为这些问题分配了名称 CVE-2013-2877 和 CVE-2014-0191。

d. ESXi Curl 程序包的更新

Curl 已更新，解决了多个安全问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为这些问题分配了名称 CVE-2014-0015 和 CVE-2014-0138。

e. ESXi Python 程序包的更新

Python 已更新，解决了多个安全问题。

通用漏洞和暴露计划 (cve.mitre.org) 已为这些问题分配了名称 CVE-2013-1752 和 CVE-2013-4238。

f. vCenter 和 Update Manager，Oracle JRE 1.6 Update 81

Oracle 在 2014 年 7 月的 Oracle Java SE 关键修补程序更新公告中记载了 JRE 1.6.0 update 81 中已解决的 CVE 标识符。“参考”部分提供了此公告的链接。

远程主机受到 GLSA-201311-06 中所述漏洞的影响（libxml2：多种漏洞）

在 libxml2 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可诱骗用户通过链接到 libxml2 的应用程序打开特别构建的文档，从而可能导致以进程的权限执行任意代码或拒绝服务情况。
 变通方案：

目前无任何已知的变通方案。

远程 VMware ESXi 主机受到多种漏洞的影响：

- Python 库 httplib 的函数 _read_status() 中以及库 smtplib、ftplib、nntplib、imaplib 和 poplib 的函数 readline() 中存在多种拒绝服务漏洞。远程攻击者可利用这些漏洞导致模块崩溃。
 (CVE-2013-1752)

- 由于未正确检查 XML_PARSER_EOF 状态，库 libxml2 的文件 parser.c 中存在越界读取错误。未经认证的远程攻击者可利用此错误，通过突然结束构建文档造成拒绝服务。
 (CVE-2013-2877)

- 由于未正确处理 X.509 证书的“主题备用名称”字段的域名中的空字符 ('\0')，ssl.match_hostname() 函数的 Python SSL 模块中存在欺骗漏洞。中间人攻击者可利用此漏洞通过由合法证书颁发机构颁发的构建证书欺骗任意 SSL 服务器。
 (CVE-2013-4238)

- 只要启用了多个认证方法，cURL 和 libcurl 就会受到与重复使用 NTLM 连接相关的缺陷的影响。未经认证的远程攻击者可利用此缺陷通过构建的请求连接并冒充其他用户。(CVE-2014-0015)

- cURL 和 libcurl 中的默认配置重复使用 SCP、SFTP、POP3、POP3S、IMAP、IMAPS、SMTP、SMTPS、LDAP 和 LDAPS 连接。未经认证的远程攻击者可利用此缺陷通过构建的请求连接并冒充其他用户。(CVE-2014-0138)

- 不论是否启用实体替换或验证，由于加载外部实体，libxml2 的文件 parser.c 的 xmlParserHandlePEReference() 函数中存在缺陷。未经认证的远程攻击者可利用此缺陷，通过构建的 XML 文档耗尽资源，从而导致拒绝服务。
 (CVE-2014-0191)

远程 VMware ESXi 主机版本是 5.1，比版本 2323236 早。因此，它受到捆绑的第三方库中以下漏洞的影响：

- 捆绑的 Python 库中存在多种漏洞。（CVE-2011-3389、CVE-2012-0845、CVE-2012-0876、CVE-2012-1150、CVE-2013-1752、CVE-2013-4238）

- 捆绑的 GNU C 库 (glibc) 中存在多种漏洞。（CVE-2013-0242、CVE-2013-1914、CVE-2013-4332）

- 捆绑的 XML 解析器库 (libxml2) 中存在多种漏洞。（CVE-2013-2877、CVE-2014-0191）

- 捆绑的 cURL 库 (libcurl) 中存在多种漏洞。（CVE-2014-0015、CVE-2014-0138）

远程主机上安装的 Google Chrome 版本低于 28.0.1500.71，因此受到多种漏洞的影响：

- 存在一个漏洞，它将 SSL 中的 HTTP 暴露给中间人攻击。(CVE-2013-2853)

- 在多种情况下拦截隐性弹出式窗口。(CVE-2013-2867)

- 存在一个与 NPAPI 扩展组件的不正确同步有关的错误。(CVE-2013-2868)

- 由于渲染器中缺少熵，存在一个不明缺陷。(CVE-2013-2872)

- 存在一个与网络套接字、输入处理和资源加载有关的释放后使用错误。（CVE-2013-2870、CVE-2013-2871、CVE-2013-2873）

- 存在一个与 GL 纹理有关的屏幕数据泄漏错误。
 (CVE-2013-2874)

- 存在一个与插播有关的扩展权限错误。(CVE-2013-2876)

- 存在与 JPEG2000、SVG、文本处理和 XML 解析有关的多个越界错误。（CVE-2013-2869、CVE-2013-2875、CVE-2013-2877、CVE-2013-2878）

- 设置登录和同步时存在一个不明错误。(CVE-2013-2879)

- 供应商报告存在各种不明错误。
 (CVE-2013-2880)

已在 libxml2 中发现并修正了多种漏洞：

在 XML 文件解析期间请求/启用了外部实体引用替换（--noent 选项）的实体值时，libxml2（用于提供对读取、修改和编写 XML 和 HTML 文件的支持的库）执行字符串替换的方式中发现一个拒绝服务缺陷。远程攻击者可提供特别构建的且包含外部实体扩展的 XML 文件，处理该文件时将导致消耗过量 CPU（拒绝服务）(CVE-2013-0339)。此缺陷与 CVE-2013-0338 不同。

低于 28.0.1500.71 的 Google Chrome 和其他产品中使用的低于 2.9.0 的 libxml2 的 parser.c 允许远程攻击者通过突然结束的文档造成拒绝服务（越界读取），这与缺少 XML_PARSER_EOF 状态的某些检查有关 (CVE-2013-2877)。

更新后的程序包已进行修补，以修正这些问题。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
74100	Oracle Linux 6：libxml2 (ELSA-2014-0513)	Nessus	Oracle Linux Local Security Checks	2014/5/20	2024/10/22	critical
74103	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 libxml2	Nessus	Scientific Linux Local Security Checks	2014/5/20	2021/1/14	medium
79762	VMSA-2014-0012：VMware vSphere 产品更新解决了安全漏洞	Nessus	VMware ESX Local Security Checks	2014/12/6	2021/1/6	medium
70836	GLSA-201311-06：libxml2：多种漏洞	Nessus	Gentoo Local Security Checks	2013/11/11	2021/1/6	high
87681	VMware ESXi 多种漏洞 (VMSA-2014-0012)	Nessus	Misc.	2015/12/30	2021/1/6	medium
79862	ESXi 5.1 < Build 2323236 第三方库多种漏洞（远程检查）(BEAST)	Nessus	Misc.	2014/12/12	2022/12/5	medium
67232	Google Chrome < 28.0.1500.71 多种漏洞	Nessus	Windows	2013/7/10	2022/4/11	high
69053	Mandriva Linux 安全公告：libxml2 （MDVSA-2013:198）	Nessus	Mandriva Local Security Checks	2013/7/25	2021/1/6	medium

検出

プラグインの検索

critical

medium

medium

high

medium

medium

high

medium