このlibxml2の更新では、複数の問題を修正します。以下のセキュリティ問題が修正されました：

  - CVE-2017-16932：DTDのパラメーターエンティティを展開する場合に、無限ループまたはメモリ枯渇を引き起こす可能性のある無限再帰が修正されました（bsc#1069689）。

  - CVE-2017-15412：リモートの攻撃者がDoSまたはRCEを引き起こす可能性のあるXPath拡張関数を呼び出す場合、メモリ解放後使用（use-after-free）を防止します（bsc#1077993）

  - CVE-2016-5131：libxml2のメモリ解放後使用の脆弱性により、リモートの攻撃者が、XPointer range-to関数に関連するベクトルを介してサービス拒否を引き起こしたり、詳細不明のその他の影響を与えたりすることが可能でした。（bsc#1078813）

  - CVE-2017-5130：関数xmlMemoryStrdup()の潜在的なリモートバッファオーバーフローが修正されました（bsc#1078806）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS ホストには、USN-3739-1のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - libxml2 2.9.4 以前には、XMLSec 1.2.23 以前や他の製品で使用されていたように、現在のドキュメントが読み取られても他のファイルが開かない可能性があることを直接示すフラグがありませんでした。これにより、リモート攻撃者が細工されたドキュメントを介して XML 外部実体 (XXE) 攻撃を容易に仕掛けることができます。
    (CVE-2016-9318)

  2.9.5 より前の libxml2 の parser.c はパラメータエンティティで無限再帰を防ぐことはできません。
    (CVE-2017-16932)

  - 2.9.6 より前の libxml2 の xzlib.c 内の xz_head 関数により、リモート攻撃者が、細工した LZMA ファイルを介してサービス拒否 (メモリ消費) を引き起こす可能性があります。これは、デコーダー機能が正当なファイルに対して必要なメモリ使用量を制限しないためです。(CVE-2017-18258)

  - NULL ポインターデリファレンスの脆弱性が、xpath.c: xmlXPathCompOpEval()関数 (2.9.8以前のlibxml2) にあります。この脆弱性は、XPATH_OP_ANDまたはXPATH_OP_ORケースで無効なXPath式を解析したときに見られます。
    libxml2 ライブラリを使用して信頼できない XSL 形式の入力を処理するアプリケーションは、アプリケーションのクラッシュによるサービス拒否攻撃に対して脆弱である可能性があります。(CVE-2018-14404)

  - libxml2 2.9.8 では、--with-lzmaが使用されている場合に、リモート攻撃者が、LZMA_MEMLIMIT_ERROR をトリガーする細工した XML ファイルを介してサービス拒否 (無限ループ) を引き起こす可能性があります。これは、xmllint で実証されており、CVE-2015-8035や CVE-2018-9251 とは別の脆弱性です。(CVE-2018-14567)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Wei Lei 氏は、libxml2 が特定のパラメータエンティティを不適切に処理することを発見しました。攻撃者は、この問題を特別に構築されたXMLデータと共に使用して、libxml2にリソースを消費させ、サービス拒否を引き起こす可能性があります。

注意: Tenable Network Security は、前述の説明ブロックをUbuntuセキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

バージョン情報によると、リモートホストで実行されているClamAV clamdのウイルス対策デーモンのバージョンは、0.100.1より前です。したがって、複数の脆弱性の影響を受けます。

Joel Eslerによる報告:

本リリースでの 3 件のセキュリティ修正：

- CVE-2017-16932:libxml2依存関係の脆弱性（WindowsのClamAVのみに影響）。

- CVE-2018-0360:HWP整数オーバーフロー、無限ループの脆弱性。
FlexeraのSecunia Researchによる報告。

- CVE-2018-0361:ClamAV PDFオブジェクトの長さチェック、比較的小さなファイルを解析するのに不当に長い時間。aCaBによる報告。

リモートの Debian 9 ホストには、dla-2972 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - libxml2 2.9.4 以前には、XMLSec 1.2.23 以前や他の製品で使用されていたように、現在のドキュメントが読み取られても他のファイルが開かない可能性があることを直接示すフラグがありませんでした。これにより、リモート攻撃者が細工されたドキュメントを介して XML 外部実体 (XXE) 攻撃を容易に仕掛けることができます。
    (CVE-2016-9318)

  2.9.5 より前の libxml2 の parser.c はパラメータエンティティで無限再帰を防ぐことはできません。
    (CVE-2017-16932)

  62.0.3202.62 より前の Google Chrome やその他の製品で使用されているように、2.9.5 より前の libxml2 の xmlmemory.c の整数オーバーフローにより、リモート攻撃者が、細工した XML ファイルを介してヒープ破損を悪用する可能性がありました。(CVE-2017-5130)

  - ** 異論あり ** libxml2 2.9.4 をリカバリモードで使用すると、リモート攻撃者が細工された XML ドキュメントを介してサービス拒否 (NULL ポインターデリファレンス) を引き起こす可能性があります。注 : メンテナーは、少なくとも XML パーサーの手動リカバリにのみ使用すべき CVE を、リカバリ解析オプションにしようすることに同意しないと述べています。(CVE-2017-5969)

  - 2.9.13 より前の libxml2 の valid.c には、ID および IDREF 属性のメモリ解放後使用 (Use-After-Free) があります。(CVE-2022-23308)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

CVE-2017-16931 2.9.5以前のlibxml2のparser.cは、NEXTLマクロがDTD名に「%」文字がある場合にxmlParserHandlePEReference関数を呼び出すため、 パラメーターエンティティ参照を不適切に処理します。

CVE-2017-16932 2.9.5以前のlibxml2のparser.cは  パラメータエンティティで無限再帰を防ぐことはできません。

Debian 7「Wheezy」では、これらの問題はバージョン2.8.0+dfsg1-7+wheezy11で修正されています。

libxml2 パッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2022:1833-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  2.9.5 より前の libxml2 の parser.c はパラメータエンティティで無限再帰を防ぐことはできません。
    (CVE-2017-16932)

  - 2.9.14より前の libxml2 では、buf.c (xmlBuf*) および tree.c (xmlBuffer*) のいくつかのバッファ処理関数が整数オーバーフローをチェックしません。これにより、領域外メモリ書き込みが発生する可能性があります。悪用するには、被害者が細工された複数ギガバイトの XML ファイルを開くことが必要です。libxml2 のバッファ機能を使用する他のソフトウェア、たとえば 1.1.35までの libxslt も影響を受けます。(CVE-2022-29824)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

自己報告されたバージョンによると、リモートホストで実行されている Nessus Network Monitor は、6.2.2 より前です。したがって、TNS-2023-23 のアドバイザリに記載されている複数の脆弱性の影響を受けます。サードパーティコンポーネントのいくつかに脆弱性が含まれていることが判明し、プロバイダーにより更新バージョンが利用可能になっています。警戒するため、最適な実施基準に従って、Tenable はこれらのコンポーネントをアップグレードし、この問題の潜在的な影響に対処することにしました。Nessus Network Monitor 6.2.2 は、以下のコンポーネントを更新します。

  - c-ares のバージョン 1.10.0 からバージョン 1.19.1。
  - curl のバージョン 7.79.1 からバージョン 8.1.2。
  - libbzip2 のバージョン 1.0.6 からバージョン 1.0.8。
  - libpcre のバージョン 8.42 からバージョン 8.44。
  - libxml2 のバージョン 2.7.7 からバージョン 2.11.1。
  - libxslt のバージョン 1.1.26 からバージョン 1.1.37。
  - libxmlsec のバージョン 1.2.18 からバージョン 1.2.37。
  - sqlite のバージョン 3.27.2 からバージョン 3.40.1。
  - jQuery Cookie のバージョン 1.3.1 からバージョン 1.4.1。
  - jQuery UI のバージョン 1.13.0 からバージョン 1.13.2。
  - OpenSSL のバージョン 3.0.8 からバージョン 3.0.9。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
106707	SUSE SLES11セキュリティ更新プログラム：libxml2（SUSE-SU-2018:0395-1）	Nessus	SuSE Local Security Checks	2018/2/9	2021/1/19	high
183608	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS : libxml2 の脆弱性 (USN-3739-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/20	medium
105037	Ubuntu 14.04 LTS / 16.04 LTS : libxml2 の脆弱性 (USN-3504-1)	Nessus	Ubuntu Local Security Checks	2017/12/6	2023/10/23	high
111517	ClamAV < 0.100.1の複数の脆弱性	Nessus	Misc.	2018/8/3	2023/8/24	high
110970	FreeBSD: clamav -- 複数の脆弱性（d1e9d8c5-839b-11e8-9610-9c5c8e75236a）	Nessus	FreeBSD Local Security Checks	2018/7/10	2018/11/10	high
159615	Debian DLA-2972-1 : libxml2 - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2022/4/9	2023/11/2	high
104936	Debian DLA-1194-1: libxml2 セキュリティ更新	Nessus	Debian Local Security Checks	2017/12/1	2021/1/11	critical
161498	SUSE SLES12 セキュリティ更新プログラム: libxml2 (SUSE-SU-2022:1833-1)	Nessus	SuSE Local Security Checks	2022/5/25	2023/7/14	high
177842	Nessus Network Monitor < 6.2.2 複数の脆弱性 (TNS-2023-23)	Nessus	Misc.	2023/6/30	2023/7/6	critical

検出

プラグインの検索

high

medium

high

high

high

high

critical

high

critical