In der von GNOME entwickelten Bibliothek Libxml2, die zur Analyse von Inhalten im XML-Format verwendet wird, wurden 5 Sicherheitsanfälligkeiten entdeckt, von denen zwei potenziell zur Codeausführung führen können, wenn speziell gestaltete externe Daten verarbeitet werden. Die Bibliothek Libxml2 ist in Open-Source-Projekten weit verbreitet und wird beispielsweise als Abhängigkeit in über 800 Ubuntu-Paketen verwendet.
Die erste Sicherheitsanfälligkeit (CVE-2025-6170) wird durch einen Pufferüberlauf in der Implementierung des interaktiven Tools xmllint verursacht, das zum Parsen von XML-Dateien verwendet wird. Der Überlauf tritt auf, wenn sehr lange Befehlsargumente verarbeitet werden, da die Größe der Eingabedaten vor dem Kopieren der Daten mit der Funktion strcpy() nicht ordnungsgemäß überprüft wird. Um die Schwachstelle auszunutzen, muss der Angreifer die Möglichkeit haben, die an das Tool xmllint übermittelten Befehle zu beeinflussen. Ein Patch zur Behebung der Schwachstelle ist bisher nicht verfügbar.
Die zweite Schwachstelle (CVE-2025-6021) besteht in der Implementierung der Funktion xmlBuildQName() und führt aufgrund eines ganzzahligen Überlaufs beim Berechnen der Puffersize basierend auf dem Präfix und dem lokalen Namen zu einem Schreiben von Daten außerhalb des Puffers. Um die Schwachstelle auszunutzen, muss ein Angreifer erreichen, dass seine Daten in die an die Funktion xmlBuildQName() übergebenen Argumente prefix und ncname eingefügt werden. Ein Patch zur Behebung der Schwachstelle wurde vorbereitet. Die Korrektur ist in der Version libxml2 2.14.4 enthalten. Den Status des neuen Paketversions oder der Bereitstellung eines Patches in den Distributionen kann auf den folgenden Seiten überprüft werden (wenn die Seite nicht verfügbar ist, haben die Entwickler der Distribution noch nicht mit der Prüfung des Problems begonnen): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo und Arch (1, 2).
Die verbleibenden drei Probleme führen zu einem Absturz aufgrund des Zugriffs auf bereits freigegebenen Speicherbereich in der Funktion xmlSchematronGetNode (CVE-2025-49794), Dereferenzierung eines Nullzeigers in der Funktion xmlXPathCompiledEval (CVE-2025-49795) und falscher Typbehandlung (Type Confusion) in der Funktion xmlSchematronFormatReport (CVE-2025-49796). Um diese Schwachstellen zu beheben, wird in Erwägung gezogen, die Unterstützung der Auszeichnungssprache Schematron aus libxml2 zu entfernen.
Zusätzlich wird auf das Vorhandensein von drei nicht behobenen Schwachstellen in der Bibliothek libxslt hingewiesen, die ohne Wartung geblieben ist. Informationen zu diesen Problemen werden vorerst nicht veröffentlicht und sind für den 9. Juli, 13. Juli und 6. August geplant. Nicht behobene und öffentlich nicht bekannt gemachte Schwachstellen werden auch in den mit GNOME verbundenen Projekten gvfs, libgxps, gdm, glib, GIMP und libsoup vermerkt.
Zusatz: Der Wartungsdienstleister von libxml2 hat bekannt gegeben, dass Schwachstellen künftig als normale Fehler behandelt werden, ohne ihnen eine höhere Priorität einzuräumen. Diese werden behoben, wenn Zeit vorhanden ist, und Informationen über die Art der Schwachstelle werden ohne Embargo und mit sofortiger Offenlegung bereitgestellt.
Quelle: opennet.ru
