In der Bibliothek Libxml2, die von dem GNOME-Projekt entwickelt wird und zur Analyse von Inhalten im XML-Format verwendet wird, wurden 5 Schwachstellen festgestellt, von denen zwei potenziell zur Codeausführung führen können, wenn speziell formatierte externe Daten verarbeitet werden. Die Bibliothek Libxml2 ist weit verbreitet in Open-Source-Projekten und wird beispielsweise als Abhängigkeit in mehr als 800 Paketen von Ubuntu verwendet.
Die erste Schwachstelle (CVE-2025-6170) wird durch einen Pufferüberlauf in der Implementierung der interaktiven Shell xmllint verursacht, die zum Parsen von XML-Dateien verwendet wird. Der Überlauf tritt beim Verarbeiten von sehr langen Befehlszeilenargumenten auf, da die Größe der Eingabedaten vor dem Kopieren der Daten mit der Funktion strcpy() nicht korrekt überprüft wird. Um die Schwachstelle auszunutzen, muss der Angreifer die Möglichkeit haben, Einfluss auf die Kommandos zu nehmen, die an das Tool xmllint übergeben werden. Ein Patch zur Behebung der Schwachstelle ist derzeit nicht verfügbar.
Die zweite Schwachstelle (CVE-2025-6021) besteht in der Implementierung der Funktion xmlBuildQName() und führt zu einer Datenbeschädigung außerhalb des Puffers aufgrund eines Überlaufs bei der Berechnung der Puffergröße auf Basis des Prefix und des lokalen Namens. Um die Schwachstelle auszunutzen, muss der Angreifer erreichen, dass seine Daten in die an die Funktion xmlBuildQName() übergebenen Argumente prefix und ncname eingefügt werden. Ein Patch zur Behebung der Schwachstelle wurde vorbereitet. Die Korrektur ist in die Version libxml2 2.14.4 aufgenommen worden. Der Zustand der neuen Paketversion oder der Patchvorbereitung kann auf den folgenden Seiten überprüft werden (wenn die Seite nicht erreichbar ist, haben die Entwickler des Distributions noch nicht mit der Bearbeitung des Problems begonnen): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo und Arch (1, 2).
Die verbleibenden drei Probleme führen zu einem Absturz aufgrund des Zugriffs auf einen bereits freigegebenen Speicherbereich in der Funktion xmlSchematronGetNode (CVE-2025-49794), einem Dereferenzieren eines Nullzeigers in der Funktion xmlXPathCompiledEval (CVE-2025-49795) und einer fehlerhaften Verarbeitung von Typen (Type Confusion) in der Funktion xmlSchematronFormatReport (CVE-2025-49796). Zur Behebung dieser Schwachstellen wird die Möglichkeit in Betracht gezogen, die Unterstützung für die Markup-Sprache Schematron aus libxml2 zu entfernen.
Zusätzlich wird auf das Vorhandensein von drei nicht behobenen Schwachstellen in der Bibliothek libxslt hingewiesen, die ohne Wartung geblieben ist. Informationen zu diesen Problemen werden bisher nicht veröffentlicht und sind für die Veröffentlichung am 9. Juli, 13. Juli und 6. August geplant. Nicht behobene und öffentlich nicht bekannt gemachte Schwachstellen werden auch in den mit GNOME verbundenen Projekten gvfs, libgxps, gdm, glib, GIMP und libsoup verzeichnet.
Zusatz: Der Wartungspartner libxml2 hat erklärt, dass Schwachstellen künftig wie gewöhnliche Fehler behandelt werden, die nicht mehr priorisiert werden, sondern bei Gelegenheit behoben werden, während die Informationen zu den Schwachstellen sofort ohne Embargo offengelegt werden.
Quelle: opennet.ru
