リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2022:0803-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 4.2.5より前の lxml で問題が検出されました。lxml.html.clean モジュールの lxml/html/clean.py は、エスケープを使用している javascript: Internet Explorer の j a v a s c r i p t: で示されるように、エスケープを使用する URL により、リモート攻撃者による XSS 攻撃の実行が可能になります。この問題はCVE-2014-3146と類似しています。
    (CVE-2018-19787)

  - python-lxmlのcleanモジュールにXSSの脆弱性が見つかりました。モジュールのパーサーがブラウザを適切に模倣しないため、サニタイザーとユーザーのページの間で異なる動作が引き起こされました。リモートの攻撃者がこの欠陥を悪用して、任意の HTML/JS コードを実行する可能性があります。(CVE-2020-27783)

  - 4.6.3より前のバージョンの python-lxml の clean モジュールに XSS の脆弱性が見つかりました。safe_attrs_onlyとフォームの引数を無効にするとき、Cleanerクラスはformaction属性を削除しないため、JSがサニタイザーをバイパスする可能性があります。リモートの攻撃者がこの欠陥を悪用して、不適切にサニタイズされたHTMLとやり取りするユーザーに対して任意のJSコードを実行する可能性があります。この問題は、lxml 4.6.3でパッチされています。
    (CVE-2021-28957)

  - lxmlは Python 言語で XML および HTML を処理するためのライブラリです。バージョン 4.6.5より前では、lxml.html の HTML クリーナーは、特定の細工されたスクリプトコンテンツを通過させ、データ URI を使用して埋め込まれた SVG ファイルのスクリプトコンテンツも通過させます。HTML クリーナーをセキュリティ関連のコンテキストで使用するユーザーは、lxml 4.6.5にアップグレードしてパッチを受信する必要があります。利用可能な既知の回避策はありません。(CVE-2021-43818)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2022:0895-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 4.2.5より前の lxml で問題が検出されました。lxml.html.clean モジュールの lxml/html/clean.py は、エスケープを使用している javascript: Internet Explorer の j a v a s c r i p t: で示されるように、エスケープを使用する URL により、リモート攻撃者による XSS 攻撃の実行が可能になります。この問題はCVE-2014-3146と類似しています。
    (CVE-2018-19787)

  - python-lxmlのcleanモジュールにXSSの脆弱性が見つかりました。モジュールのパーサーがブラウザを適切に模倣しないため、サニタイザーとユーザーのページの間で異なる動作が引き起こされました。リモートの攻撃者がこの欠陥を悪用して、任意の HTML/JS コードを実行する可能性があります。(CVE-2020-27783)

  - 4.6.3より前のバージョンの python-lxml の clean モジュールに XSS の脆弱性が見つかりました。safe_attrs_onlyとフォームの引数を無効にするとき、Cleanerクラスはformaction属性を削除しないため、JSがサニタイザーをバイパスする可能性があります。リモートの攻撃者がこの欠陥を悪用して、不適切にサニタイズされたHTMLとやり取りするユーザーに対して任意のJSコードを実行する可能性があります。この問題は、lxml 4.6.3でパッチされています。
    (CVE-2021-28957)

  - lxmlは Python 言語で XML および HTML を処理するためのライブラリです。バージョン 4.6.5より前では、lxml.html の HTML クリーナーは、特定の細工されたスクリプトコンテンツを通過させ、データ URI を使用して埋め込まれた SVG ファイルのスクリプトコンテンツも通過させます。HTML クリーナーをセキュリティ関連のコンテキストで使用するユーザーは、lxml 4.6.5にアップグレードしてパッチを受信する必要があります。利用可能な既知の回避策はありません。(CVE-2021-43818)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされているpython-lxmlのバージョンは、3.2.1-4より前です。したがって、ALAS2-2023-1956 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    3.3.5 以前の lxml の lxml.html.clean モジュールの不完全なブラックリストの脆弱性により、リモートの攻撃者が、clean_html 関数へのリンクスキームの制御文字を介して、クロスサイトスクリプティング (XSS) 攻撃を仕掛ける可能性があります。(CVE-2014-3146)

    4.2.5 より前の lxml で問題が発見されました。lxml.html.clean モジュールの lxml/html/clean.py が、エスケープを使用するために javascript: URL を削除しません。これにより、リモートの攻撃者が XSS 攻撃を実行することができます。これは Internet Explorer の javascript: で実証されています。この問題は CVE-2014-3146 と類似しています。
    (CVE-2018-19787)

    python-lxml の HTML Cleaner コンポーネントに欠陥があり、HTML および Javascript をサニタイズします。python-lxml の HTML Cleaner を使用する Web サービスに細工されたペイロードを送信できる攻撃者が、Web ブラウザなどのクライアントでスクリプトの実行を発生させる可能性があります。これは、HTML Cleaner が、<img src> などのデータ URL の SVG 画像内のスクリプトを削除しなかったために発生する可能性があります。XSS は、ウェブページの整合性と可用性に影響を与えたり、状況によってはデータの機密性に影響を与えたりする可能性があります。(CVE-2021-43818)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

lxmlが特定のHTMLファイルを不適切に処理することが発見されました。攻撃者がこの問題を悪用して、クロスサイトスクリプティング (XSS) 攻撃を仕掛ける可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

4.2.5への更新

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

HTML/XSSを操作するためのPhyton向けライブラリであるLXMLで、XSSインジェクションの脆弱性が見つかりました。

LXMLは「j a v a s c r i p t」などのエスケープを使用した「javascript:」のURLを削除しません。この問題はCVE-2014-3146と類似しています。

Debian 8「Jessie」では、この問題はlxmlのバージョン3.4.0-1+deb8u1で修正されました。

lxmlパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 問題が 4.2.5より前に lxml で発見されました。 lxml.html.clean モジュールの lxml/html/clean.py が、エスケープを使用するために javascript: URL を削除しません。これにより、リモートの攻撃者が XSS 攻撃を実行することができます。これは Internet Explorer の javascript: で実証されています。この問題はCVE-2014-3146と類似しています。
    (CVE-2018-19787)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
158799	SUSE SLED15/SLES15 セキュリティ更新プログラム: python-lxml (SUSE-SU-2022:0803-1)	Nessus	SuSE Local Security Checks	2022/3/11	2023/7/14	high
159062	SUSE SLES12 セキュリティ更新プログラム: python-lxml (SUSE-SU-2022:0895-1)	Nessus	SuSE Local Security Checks	2022/3/18	2023/7/14	high
171803	Amazon Linux 2 : python-lxml (ALAS-2023-1956)	Nessus	Amazon Linux Local Security Checks	2023/2/22	2025/3/17	high
119580	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS : lxmlの脆弱性 (USN-3841-1)	Nessus	Ubuntu Local Security Checks	2018/12/11	2024/8/27	medium
120488	Fedora 28：python-lxml（2018-67e98d4b7a）	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/5	medium
119560	Debian DLA-1604-1: lxmlのセキュリティ更新	Nessus	Debian Local Security Checks	2018/12/11	2024/7/16	medium
222037	Linux Distros のパッチ未適用の脆弱性: CVE-2018-19787	Nessus	Misc.	2025/3/4	2025/3/4	medium
120402	Fedora 29：python-lxml（2018-4be0428ab2）	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/5	medium

検出

プラグインの検索

high

high

high

medium

medium

medium

medium

medium