远程 CentOS Linux 9 主机上安装的多个程序包受到 libxml2-2.9.13-4.el9 版本变更日志中提及的多个漏洞影响。

  - 在 2.10.4 版之前的 libxml2 中，解析某些无效的 XSD 方案可导致空指针取消引用，并随后导致段错误。此问题存在于 xmlschemas.c 的 xmlSchemaFixupComplexType 中。(CVE-2023-28484)

  - 在低于 2.10.4 版的 libxml2 中发现一个问题。当对构建的 XML 文档中的空 dict 字符串进行哈希处理时，dict.c 中的 xmlDictComputeFastKey 可产生非确定性值，从而导致各种逻辑和内存错误，例如双重释放。此问题之所以出现是因为攻击者尝试使用空字符串的第一个字节，并且可能使用任何值（不仅仅是“\0”值）。(CVE-2023-29469)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

CentOS 9：libxml2-2.9.13-4.el9

medium Nessus 插件 ID 191253

版本 1.1