Уязвимости в библиотеката libxml2, които потенциално водят до изпълнение на код

В библиотеката Libxml2, разработвана от проекта GNOME и използвана за парсване на XML съдържание, са открити 5 уязвимости, две от които потенциално могат да доведат до изпълнение на код при обработка на специално форматирани външни данни. Библиотеката Libxml2 е широко разпространена в отворени проекти и например се използва като зависимости в над 800 пакета в Ubuntu.

Първата уязвимост (CVE-2025-6170) е причинена от препълване на буфера в реализацията на интерактивната конзола xmllint, използвана за парсване на XML файлове. Препълването възниква при обработка на много дълги командни аргументи поради липса на коректна проверка на размера на входните данни преди копиране с функцията strcpy(). За експлоатация на уязвимостта атакуващият трябва да може да влияе на командите, предавани на утилитата xmllint. Патч за отстраняване на уязвимостта в момента не е наличен.

Втората уязвимост (CVE-2025-6021) присъства в реализацията на функцията xmlBuildQName() и води до запис на данни извън буфера поради препълване на цели числа при изчисляване на размера на буфера на база префикса и локалното име. За експлоатация на уязвимостта атакуващият трябва да успее да подмени своите данни в предадените на функцията xmlBuildQName() аргументи prefix и ncname. Патч за отстраняване на уязвимостта е подготвен. Корекцията е включена в версията libxml2 2.14.4. Състоянието на новата версия на пакета или подготовката на корекция в дистрибуциите може да бъде проверено на следните страници (ако страницата не е достъпна, това означава, че разработчиците на дистрибуцията все още не са започнали разглеждането на проблема): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo и Arch (1, 2).

Останалите три проблема водят до аварийно приключване поради достъп до вече освобождавано пространство в паметта в функцията xmlSchematronGetNode (CVE-2025-49794), разименуване на нулев указател в функцията xmlXPathCompiledEval (CVE-2025-49795) и неправилна обработка на типове (Type Confusion) в функцията xmlSchematronFormatReport (CVE-2025-49796). За отстраняването на тези уязвимости се разглежда възможността за премахване на поддръжката на езика за маркиране Schematron от libxml2.

Допълнително се отбелязва наличието на три незабелязани уязвимости в библиотеката libxslt, която е без поддръжка. Информацията за тези проблеми все още не е разкрита и е планирана за публикуване на 9 юли, 13 юли и 6 август. Незабелязаните и публично не обнародваните уязвимости също се отбелязват в свързаните с GNOME проекти gvfs, libgxps, gdm, glib, GIMP и libsoup.

Допълнение: Поддръжката на libxml2 обяви, че оттук нататък ще тълкува уязвимостите като обикновени грешки, без да им придава по-висок приоритет, поправяйки ги при наличие на свободно време и незабавно разкривайки информация за същността на уязвимостта без въвеждане на ембарго и предоставяне на време за отстраняване в странични продукти.

Източник: opennet.ru