遠端 Debian 10 主機上安裝的一個套件受到 dla-3260 公告中提及的多個弱點影響。

  - xmldom 是完全基於 JavaScript W3C 標準 (XML DOM Level 2 Core) 的 DOMParser 和 XMLSerializer 模組。
    xmldom 0.4.0 版和更舊版本在重複剖析和序列化惡意特製文件時，未正確保留系統識別碼、FPI 或命名空間。在某些下游應用程式的 XML 處理期間，這可能會意外導致語法變更。此問題已在 0.5.0 版本中修正。作為因應措施，下游應用程式可以驗證輸入並拒絕惡意製作的文件。
    (CVE-2021-21366)

  - Passport-SAML 是 Passport (Node.js 驗證程式庫) 的 SAML 2.0 驗證提供程式。遠端攻擊者可能會在使用 Passport-saml 的網站上繞過 SAML 驗證。若要攻擊成功，攻擊者需要擁有任意 IDP 簽署的 XML 元素。根據所使用的 IDP 不同，如果可觸發程式產生已簽署的訊息，則也可能在完全未經驗證的情況下執行攻擊 (例如，無法存取有效使用者)。使用者應升級至 passport-saml 3.2.2 版或更新版本。4.0.0-beta.5 版之前的 node-saml 測試版也存在此問題。如果您無法升級，可停用 SAML 驗證做為因應措施。(CVE-2022-39299)

  - xmldom 是完全基於 JavaScript W3C 標準 (XML DOM Level 2 Core) 的 DOMParser 和 XMLSerializer 模組。xmldom 包含多個頂層元素，所以會剖析格式不正確的 XML，並將所有 root 節點新增到「Document」的「childNodes」集合，而不會報告或擲回任何錯誤。這破壞了樹狀結構中只有一個 root 節點的假設，導致 CVE-2022-39299 的發佈 (因爲這是潛在的相依性問題)。更新爲 @xmldom/xmldom@~0.7.7、@xmldom/xmldom@~0.8.4 (dist-tag latest) 或 @xmldom/xmldom@>=0.9.0-beta.4 (dist-tag next)。作為因應措施，請根據您的使用案例，採用下列方法之一：不搜尋整個 DOM 中的元素，只在 documentElement 中搜尋或拒絕含有 1 個以上「childNode」的文件。(CVE-2022-39353)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The remote Debian 10 host has a package installed that is affected by multiple vulnerabilities as referenced in the dla-3260 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-3260-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Guilhem Moulin     January 01, 2023                              https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : node-xmldom     Version        : 0.1.27+ds-1+deb10u2     CVE ID         : CVE-2021-21366 CVE-2022-39353     Debian Bug     : 1024736

    It was discovered that node-xmldom, a standard XML DOM (Level2 CORE)     implementation in pure javascript, processed ill-formed XML, which may result in     bugs and security holes in downstream applications.

    CVE-2021-21366

        xmldom versions 0.4.0 and older do not correctly preserve system         identifiers, FPIs or namespaces when repeatedly parsing and serializing         maliciously crafted documents.  This may lead to unexpected syntactic         changes during XML processing in some downstream applications.

    CVE-2022-39353

        Mark Gollnick discovered that xmldom parses XML that is not well-formed         because it contains multiple top level elements, and adds all root nodes to         the `childNodes` collection of the `Document`, without reporting or throwing         any error.  This breaks the assumption that there is only a single root node         in the tree, and may open security holes such as CVE-2022-39299 in         downstream applications.

    For Debian 10 buster, these problems have been fixed in version     0.1.27+ds-1+deb10u2.

    We recommend that you upgrade your node-xmldom packages.

    For the detailed security status of node-xmldom please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/node-xmldom

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: PGP signature

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程 Debian 10 主机上安装的程序包受到 dla-3260 公告中提及的多个漏洞影响。

  - xmldom 是完全基于 JavaScript W3C 标准（XML DOM Level 2 Core）的 DOMParser 和 XMLSerializer 模块。
    xmldom 0.4.0 及更早版本在重复解析和序列化恶意构建的文档时未正确保留系统标识符、FPI 或命名空间。这可能会在某些下游应用程序的 XML 处理期间导致意外的语法更改。此缺陷已在版本 0.5.0 中修复。作为变通方案，下游应用程序可验证输入并拒绝恶意构建的文档。
    (CVE-2021-21366)

  - Passport-SAML 是 Node.js 认证库 Passport 的 SAML 2.0 认证提供程序。远程攻击者可能在使用 passport-saml 的网站上绕过 SAML 认证。如要攻击成功，攻击者需要拥有任意 IDP 签名的 XML 元素。根据所使用的 IDP 不同，如果可以触发生成已签名的消息，也可能在完全未经身份验证的情况下执行攻击（例如，无法访问有效用户）。用户应升级到 passport-saml 3.2.2 或更高版本。4.0.0-beta.5 之前的 node-saml 测试版中也存在此问题。如果您无法升级，可以禁用 SAML 认证，作为变通方案。(CVE-2022-39299)

  - xmldom 是完全基于 JavaScript W3C 标准（XML DOM Level 2 Core）的“DOMParser”和“XMLSerializer”模块。xmldom 包含多个顶级元素，所以会解析格式错误的 XML，并将所有根节点添加到“Document”的“childNodes”集合，而不会报告或抛出任何错误。这破坏了树中只有一个根节点的假设，从而会导致发出 CVE-2022-39299（因为这是从属对象的潜在问题）。更新为 @xmldom/xmldom@~0.7.7、@xmldom/xmldom@~0.8.4 (dist-tag latest) 或 @xmldom/xmldom@>=0.9.0-beta.4 (dist-tag next)。作为变通方案，请根据您的使用案例采用下列方法之一：不搜索整个 DOM 中的元素，而只在“documentElement”中搜索，或拒绝包含 1 个以上“childNode”的文档。(CVE-2022-39353)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

リモートの Debian 10 ホストには、dla-3260 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - xmldom は、純粋な JavaScript W3C 標準ベース (XML DOM Level 2 Core) の DOMParser および XMLSerializer モジュールです。
    xmldom バージョン 0.4.0 以前では、悪意を持って細工されたドキュメントを繰り返し解析およびシリアル化すると、システム識別子、FPI、または名前空間が正しく保存されません。これにより、一部のダウンストリームアプリケーションで、XML 処理中に予期しない構文変更が発生する可能性があります。これはバージョン0.5.0で修正されました。回避策として、ダウンストリームアプリケーションで入力を検証し、悪意を持って細工されたドキュメントを拒否することができます。
    (CVE-2021-21366)

  - Passport-SAML は、Node.js 認証ライブラリである Passport 用の SAML 2.0 認証プロバイダーです。リモート攻撃者が、passport-saml を使用する Web サイトで SAML 認証をバイパスできる可能性があります。攻撃を成功させるには、攻撃者が任意の IDP 署名付き XML 要素を所有していることが必要です。使用される IDP によっては、署名されたメッセージの生成をトリガーできる場合、完全に認証されていない攻撃 (有効なユーザーへのアクセスがないなど) も実行可能な場合があります。ユーザーは、passport-saml バージョン 3.2.2 以降にアップグレードする必要があります。この問題は、バージョン 4.0.0-beta.5 より前の「node-saml」のベータリリースにも存在していました。アップグレードできない場合は、回避策として SAML 認証を無効化することができます。(CVE-2022-39299)

  - xmldom は、純粋な JavaScript W3C 標準ベース (XML DOM Level 2 Core) の「DOMParser」および「XMLSerializer」モジュールです。xmldom は、複数のトップレベル要素が含まれているために形式が正しくない XML を解析し、エラーやスローを報告せずに、すべてのルートノードを「Document」の「childNodes」コレクションに追加します。これによって、ツリーに単一のルートノードしかないという仮定が崩れ、依存関係の問題である可能性があるため、CVE-2022-39299 の発行を引き起こしました。@xmldom/xmldom@~0.7.7、@xmldom/xmldom@~0.8.4 (dist-tag latest) または@xmldom/xmldom@>=0.9.0-beta.4 (dist-tag next) に更新してください。回避策として、ユースケースに応じて次のいずれかの方法を行ってください: DOM 全体で要素を検索する代わりに、「documentElement」のみを検索するか、「childNode」が 2 つ以上あるドキュメントを拒否します。(CVE-2022-39353)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
169694	Debian DLA-3260-1：node-xmldom - LTS 安全性更新	Nessus	Debian Local Security Checks	2023/1/7	2025/1/22	critical
169694	Debian dla-3260 : node-xmldom - security update	Nessus	Debian Local Security Checks	2023/1/7	2025/1/22	critical
169694	Debian DLA-3260-1：node-xmldom - LTS 安全更新	Nessus	Debian Local Security Checks	2023/1/7	2025/1/22	critical
169694	Debian DLA-3260-1: node-xmldom - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2023/1/7	2025/1/22	critical

検出

プラグインの検索

critical

critical

critical

critical