I biblioteket Libxml2, der udvikles af GNOME-projektet og anvendes til at analysere indhold i XML-format, er der identificeret 5 sÄrbarheder, hvoraf to potentielt kan fÞre til eksekvering af kode ved behandling af specielt udformede eksterne data. Biblioteket Libxml2 er meget udbredt i open source-projekter og bruges eksempelvis som afhÊngighed i mere end 800 pakker i Ubuntu.
Den fÞrste sÄrbarhed (CVE-2025-6170) skyldes buffer-overflow i implementeringen af den interaktive shell xmllint, der anvendes til at analysere XML-filer. Overflowet opstÄr ved behandling af meget lange kommandolinjeargumenter pÄ grund af manglende korrekt kontrol af inputstÞrrelsen fÞr dataene kopieres med funktionen strcpy(). For at udnytte sÄrbarheden skal angriberen have mulighed for at pÄvirke kommandoerne, der sendes til vÊrktÞjet xmllint. Der er endnu ikke et patch tilgÊngeligt for at rette sÄrbarheden.
Den anden sÄrbarhed (CVE-2025-6021) findes i implementeringen af funktionen xmlBuildQName() og fÞrer til, at data skrives uden for bufferet pÄ grund af heltalsoverflow ved beregning af bufferstÞrrelsen baseret pÄ prÊfiks og lokal navn. For at udnytte sÄrbarheden skal angriberen sikre sig, at deres data kommer ind i argumenterne prefix og ncname, der sendes til funktionen xmlBuildQName(). Der er udarbejdet et patch til at lÞse sÄrbarheden. Rettelsen er inkluderet i versionen af libxml2 2.14.4. For at tjekke status for den nye version af pakken eller patchen i distributionerne, kan du besÞge fÞlgende sider (hvis siden ikke er tilgÊngelig, betyder det, at udviklerne af distributionen endnu ikke er begyndt at se pÄ problemet): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo og Arch (1, 2).
De resterende tre problemer fÞrer til nedbrud pÄ grund af adgang til allerede frigivet hukommelse i funktionen xmlSchematronGetNode (CVE-2025-49794), dereferering af en nulpegepind i funktionen xmlXPathCompiledEval (CVE-2025-49795) og forkert hÄndtering af typer (Type Confusion) i funktionen xmlSchematronFormatReport (CVE-2025-49796). For at lÞse disse sÄrbarheder overvejes muligheden for at fjerne understÞttelsen af markup-sproget Schematron fra libxml2.
Der er desuden bemÊrket tre uoprettede sÄrbarheder i biblioteket libxslt, som ikke har nogen vedligeholdelse. Oplysninger om disse problemer vil ikke blive offentliggjort fÞr 9. juli, 13. juli og 6. august. Uoprettede og ikke offentliggjorte sÄrbarheder er ogsÄ noteret i projekter relateret til GNOME sÄsom gvfs, libgxps, gdm, glib, GIMP og libsoup.
TilfÞjelse: Vedligeholderen af libxml2 har meddelt, at de fremover vil betragte sÄrbarheder som almindelige fejl, uden at de fÄr hÞjere prioritet, og de vil blive rettet, nÄr der er tid til det, mens information om sÄrbarheden straks vil blive offentliggjort uden embargo og uden at give tid til at udbedre i tredjepartsprodukter.
Kilde: opennet.ru
