Libxml2 teegis esinevad haavatavused, mis võivad põhjustada koodi täitmist

GNOME projekti arendatav Libxml2 teek, mida kasutatakse XML-formaadis sisu analüüsimiseks, on tuvastanud 5 haavatavust, millest kaks võivad potentsiaalselt põhjustada koodi täitmist spetsiaalselt vormindatud välistest andmetest töötlemise käigus. Libxml2 teek on laialdaselt kasutusel avatud projektides ja seda kasutatakse näiteks sõltuvusena üle 800 pakendis, mis on osa Ubuntu'ist.

Esimene haavatavus (CVE-2025-6170) on põhjustatud puhverülevoolust xmllint interaktiivse käsurealiidese rakenduses, mille eesmärk on XML-failide analüüsimine. Ülevool tekib väga pikkade käsuridade töötlemisel, kuna puhvri suuruse kontrollimiseks enne andmete kopeerimist strcpy() funktsiooni abil ei tehta korrektset kontrolli. Haavatavuse kasutamiseks peab ründaja olema suuteline mõjutama xmllint utiliidile edastatud käske. Praegu pole haavatavuse parandamiseks plaastrit saadaval.

Teine haavatavus (CVE-2025-6021) esineb xmlBuildQName() funktsiooni rakenduses ja põhjustab andmete kirjutamist puhvri piiridest väljapoole, kuna puhver on intressikontode ülevoolu tõttu valesti arvutatud, tuginedes prefiksile ja kohalikele nimedele. Haavatavuse kasutamiseks peab ründaja olema suuteline asendama oma andmed funktsioonile xmlBuildQName() edastatud prefiksi ja ncname'i argumentides. Haavatavuse parandamiseks on olemas plaastr, mis on lisatud libxml2 versiooni 2.14.4 väljaandesse. Uue paketiversiooni või paranduse seisundi kontrollimiseks jaotustes saab leida järgmistelt lehtedelt (kui leht on kättesaamatu, tähendab see, et jaotuse arendajad pole veel probleemiga tegelemiseks alustanud): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo ja Arch (1, 2).

Ülejäänud kolm probleemi põhjustavad kokkuvarisemisi, kuna juurdepääs toimub juba vabastatud mälu piirkonda funktsioonis xmlSchematronGetNode (CVE-2025-49794), null-viitide tühjendamine funktsioonis xmlXPathCompiledEval (CVE-2025-49795) ja vale tüüpide käsitsemine (Type Confusion) funktsioonis xmlSchematronFormatReport (CVE-2025-49796). Nende haavatavuste kõrvaldamiseks kaalutakse võimalust eemaldada libxml2 toetus Schematron märgistuskeelele.

Tõdetakse, et libxslt teegis on kolm unparandatud haavatavust, mida ei toetata. Täiendav teave nende probleemide kohta avaldatakse 9. juulil, 13. juulil ja 6. augustil. Samuti on märgitud, et GNOME'i seotud projektides gvfs, libgxps, gdm, glib, GIMP ja libsoup on unparandatud ja avalikult mitte avaldatud haavatavused.

Täiendav märkus: libxml2 toetaja on väljendanud, et edaspidi käsitleb ta haavatavusi tavaliste vigadena, andes neile madalama prioriteedi, parandades need vaba aja korral ja paljastades kohe haavatavuse olemuse ilma embargo või kolmandate osapoolte toodetes kõrvalehoidmise ajata.

Allikas: opennet.ru