远程主机正在运行 Mac OS X 10.11.6 或 Mac OS X 10.12.6 且缺少安全更新。因而会受到多个漏洞影响，并影响以下组件：- 802.1X - apache - AppleScript - ATS - Audio - CFString - CoreText - curl - Dictionary Widget - file - Fonts - fsck_msdos - HFS - Heimdal - HelpViewer - ImageIO - Kernel - libarchive - Open Scripting Architecture - PCRE - Postfix - Quick Look - QuickTime - Remote Management - Sandbox - StreamingZip - tcpdump - Wi-Fi

根据安装的 libxml2 程序包版本，远程主机上安装的 EulerOS 会受到下列漏洞影响：- libxml2 中的远程代码执行漏洞，可让使用特制文件的攻击者在无权限的进程环境内执行任意代码。由于此问题可能会在使用此库的应用程序中造成远程代码执行，因此被评定为“高度”严重的问题。产品：Android。版本：4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1, 7.0, 7.1.1, 7.1.2.Android ID：A-37104170。(CVE-2017-0663) - libxml2 2.9.8（若使用 --with-lzma）可让远程攻击者通过触发 LZMA_MEMLIMIT_ERROR 的特制 XML 文件造成拒绝服务（无限循环），如 xmllint 所示，此漏洞与 CVE-2015-8035 和 CVE-2018-9251 不同。(CVE-2018-14567) - 在 libxml2 2.9.4 中，HTMLparser.c 中的 htmlParseTryOrFinish 函数可让攻击者造成拒绝服务（缓冲区过度读取）或信息泄露。(CVE-2017-8872) - libxml2 20904-GITv2.9.4-16-g0741801 容易受到堆栈型缓冲区溢出影响。valid.c 中的 xmlSnprintfElementContent 函数应该以递归方式将元素内容定义转储至大小“size”的 char 缓冲区“buf”。在例程的结尾，该函数可能会 strcat 多两个字元，而未检查目前的 strlen(buf) + 2 是否小于 size。此漏洞会造成使用 libxml2 的程序（如 PHP）崩溃。(CVE-2017-9048) - 在 libxml2 2.9.1 中，xzlib.c 中的 xz_decomp 函数未正确检测压缩错误，这可让环境相关的攻击者通过特制的 XML 数据造成拒绝服务（进程挂起）。(CVE-2015-8035) - 在 2.9.6 之前的 libxml2 中，xzlib.c 内的 xz_head 函数可让远程攻击者通过特制 LZMA 文件而造成拒绝服务（内存消耗），这是因为解码器功能未将内存使用限制为合法文件所需的内容。(CVE-2017-18258) - ** 有争议 ** libxml2 2.9.4（在复原模式中使用时）可让远程攻击者通过特制的 XML 文档造成拒绝服务 (空指针取消引用)。注意：维护者声明“我不同意含有恢复解析选项的 CVE，该选项应只用于手动恢复，至少对 XML 解析器而言如此”。(CVE-2017-5969) 请注意，Tenable Network Security 已直接从 EulerOS 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Debian 9 主机上安装的多个程序包受到 dla-2972 公告中提及的多个漏洞影响。

  - XMLSec 1.2.23 及更早版本以及其他产品中使用的 libxml2 2.9.4 及之前版本未提供直接指示“可读取当前文档，但无法打开其他文件”的标记，从而导致远程攻击者更容易通过构建的文档发动 XML 外部实体 (XXE) 攻击。
    (CVE-2016-9318)

  - libxml2 2.9.5 之前版本中的 parser.c 不会阻止参数实体中的无限递归。
    (CVE-2017-16932)

  - Google Chrome 62.0.3202.62 更低版本及其他产品中使用的 libxml2 2.9.5 之前版本的 xmlmemory.c 中存在一个整数溢出漏洞，该漏洞可能允许远程攻击者通过构建的 HTML 页面利用堆损坏。(CVE-2017-5130)

  - ** 有争议 ** 在恢复模式下使用 libxml2 2.9.4 时，允许远程攻击者通过构建的 XML 文档造成拒绝服务（空指针取消引用）。注意：维护人员表示，我不同意在 CVE 中使用“恢复”解析选项（至少对于 XML 解析器，该选项应仅用于手动恢复）。(CVE-2017-5969)

  - libxml2 2.9.13 之前版本的 valid.c 中存在释放后使用 ID 和 IDREF 属性问题。(CVE-2022-23308)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

远程主机受到 GLSA-201711-01 中所述漏洞的影响（libxml2：多个漏洞）在 libxml2 中发现多个漏洞。请检查下面引用的 CVE 标识符以了解详细信息。影响：远程攻击者可引诱用户处理特制的 XML 文档，并可远程执行任意代码、发动 XML 外部实体 (XXE) 攻击，或造成拒绝服务情况。解决方法：目前无任何已知的解决方法。

根据其自我报告的版本，远程主机上运行的 Nessus Network Monitor 版本低于 6.2.2 版。因此，它受到 TNS-2023-23 公告中提及的多个漏洞影响。已发现多个第三方组件包含漏洞，供应商已提供更新版本。出于谨慎考虑且符合最佳实践，Tenable 选择升级这些组件，以解决这些问题的潜在影响。Nessus Network Monitor 6.2.2 更新了以下组件：

  - 将 c-ares 版本从 1.10.0 更新到 1.19.1。
  - 将 curl 版本从 7.79.1 更新到 8.1.2。
  - 将 libbzip2 版本从 1.0.6 更新到 1.0.8。
  - 将 libpcre 版本从 8.42 更新到 8.44。
  - 将 libxml2 版本从 2.7.7 更新到 2.11.1。
  - 将 libxslt 版本从 1.1.26 更新到 1.1.37。
  - 将 libxmlsec 版本从 1.2.18 更新到 1.2.37。
  - 将 sqlite 版本从 3.27.2 更新到 3.40.1。
  - 将 jQuery Cookie 版本从 1.3.1 更新到 1.4.1。
  - 将 jQuery UI 版本从 1.13.0 更新到 1.13.2。
  - 将 OpenSSL 版本从 3.0.8 更新到 3.0.9。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
104379	macOS and Mac OS X Multiple Vulnerabilities (Security Update 2017-001 and 2017-004)	Nessus	MacOS X Local Security Checks	2017/11/3	2019/6/19	critical
131644	EulerOS 2.0 SP2：libxml2 (EulerOS-SA-2019-2491)	Nessus	Huawei Local Security Checks	2019/12/4	2024/4/8	critical
159615	Debian DLA-2972-1：libxml2 - LTS 安全更新	Nessus	Debian Local Security Checks	2022/4/9	2023/11/2	high
104492	GLSA-201711-01 : libxml2: 多个漏洞	Nessus	Gentoo Local Security Checks	2017/11/10	2021/1/11	critical
177842	Nessus Network Monitor < 6.2.2 多个漏洞 (TNS-2023-23)	Nessus	Misc.	2023/6/30	2023/7/6	critical

检测

插件搜索

critical

critical

high

critical

critical