GNOME'i projekti arendatav libsoup teek on tuvastanud 14 haavatavust. Libsoup pakub HTTP kliendi ja serveri rakendusi, mis kasutavad GObject'e GNOME'i rakendustega integreerimiseks. Teeki kasutatakse GNOME Shellis, Epiphany's (GNOME Web), Shotwell'i pildivaatajas, GStreameri plugina souphttpsrc's ja rakendustes, mis kasutavad libwebkit2gtk. Varem kasutati libsoup'i NetworkManageris, mis alates versioonist 1.8 on üle läinud libcurl'ile.
Üks haavatavustest (CVE-2025-32911) viib mälulehkumiseni (double-free) funktsioonis soup_message_headers_get_content_disposition() ja teoreetiliselt võib seda kuritarvitada, et kaugelt käivitada oma kood, töötledes spetsiaalselt kokku pandud päringuid HTTP kliendilt. serveri, mis kasutab libsoup'i. Probleem on lahendatud libsoup versioonis 3.6.3.
12 probleemi viib mälupuhvri ületäitumiseni, kui tehakse lugemisoperatsioone või tühja näitajat dekodeeritakse, põhjustades teenuse keelamise (ründaja võib põhjustada rakenduse, mis kasutab libsoup'i, kokkujooksmise). Üks probleem (CVE-2025-32907) on põhjustatud vale Range'i päise töötlemisest ja võimaldab kliendil käivitada liigset mälu kasutust. serveris.
Allikas: opennet.ru
