V knihovně Libxml2, kterou vyvíjí projekt GNOME a která se používá k analýze obsahu ve formátu XML, bylo zjištěno 5 zranitelností, z nichž dvě mohou potenciálně vést k vykonání kódu při zpracování speciálně formátovaných externích dat. Knihovna Libxml2 je široce používána v otevřených projektech a například je použita jako závislost ve více než 800 balíčcích v distribuci Ubuntu.
První zranitelnost (CVE-2025-6170) je způsobena přetečením bufferu v implementaci interaktivní shellové utility xmllint, která se používá k analýze XML souborů. K přetečení dochází při zpracování velmi dlouhých argumentů příkazů kvůli absenci správného ověření velikosti vstupních dat před kopírováním dat funkcí strcpy(). K využití této zranitelnosti musí útočník mít možnost ovlivnit příkazy předávané utility xmllint. Oprava pro odstranění zranitelnosti zatím není k dispozici.
Druhá zranitelnost (CVE-2025-6021) se vyskytuje v implementaci funkce xmlBuildQName() a vede k zápisu dat mimo buffer kvůli celému číselnému přetečení při výpočtu velikosti bufferu na základě prefixu a lokálního názvu. K využití této zranitelnosti musí útočník dosáhnout substituce svých dat do argumentů prefix a ncname předávaných funkci xmlBuildQName(). Oprava pro tuto zranitelnost byla připravena. Oprava je součástí vydání libxml2 2.14.4. Stav nové verze balíčku nebo přípravy opravy lze zkontrolovat na následujících stránkách (pokud stránka není dostupná, znamená to, že vývojáři distribuce se ještě nezačali zabývat problémem): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo a Arch (1, 2).
Zbývající tři problémy vedou k havárii kvůli přístupu k již uvolněné oblasti paměti ve funkci xmlSchematronGetNode (CVE-2025-49794), dereferencování null ukazatele ve funkci xmlXPathCompiledEval (CVE-2025-49795) a nesprávnému zpracování typů (Type Confusion) ve funkci xmlSchematronFormatReport (CVE-2025-49796). Pro odstranění těchto zranitelností se zvažuje možnost odstranění podpory jazyka označování Schematron z libxml2.
Je nutné zmínit, že v knihovně libxslt zůstávají tři neopravené zranitelnosti, které nemají žádného maintenéra. Informace o těchto problémech zatím nebyly zveřejněny a jejich publikace je naplánována na 9. července, 13. července a 6. srpna. Neopravené a veřejně nezveřejněné zranitelnosti jsou také zaznamenány v projektech souvisejících s GNOME, jako jsou gvfs, libgxps, gdm, glib, GIMP a libsoup.
Doplňující informace: Maintenér libxml2 oznámil, že nyní bude zranitelnosti považovat za běžné chyby, nebude je stavět jako prioritní a opravovat je bude podle potřeby, přičemž ihned zveřejní informace o podstatě zranitelnosti, aniž by uvaloval embargo nebo dával čas na odstranění v externích produktech.
Zdroj: opennet.ru
