libxml2 teegi haavatavused, mis võivad viia koodi käivitamiseni

GNOME projekti poolt välja töötatud ja XML-sisu parsimiseks kasutatavas Libxml2 teegis on tuvastatud viis haavatavust, millest kaks võivad potentsiaalselt viia koodi käivitamiseni spetsiaalselt vormindatud välisandmete töötlemisel. Libxml5 teeki kasutatakse laialdaselt avatud lähtekoodiga projektides ja näiteks on see sõltuvuses enam kui 2 Ubuntu paketis.

Esimene haavatavus (CVE-2025-6170) on põhjustatud puhvri ületäitumisest XML-failide parsimiseks kasutatava interaktiivse shelli xmllint implementatsioonis. Ületäitumine tekib väga pikkade käskude argumentide töötlemisel, kuna enne andmete kopeerimist strcpy() funktsiooni abil ei ole sisendandmete suurust korralikult valideeritud. Haavatavuse ärakasutamiseks peab ründaja suutma mõjutada xmllint utiliidile edastatavaid käske. Haavatavuse parandamiseks pole veel saadaval parandust.

Teine haavatavus (CVE-2025-6021) esineb xmlBuildQName() funktsiooni implementatsioonis ja viib andmete kirjutamiseni puhvrist väljapoole täisarvu ületäitumise tõttu puhvri suuruse arvutamisel eesliite ja kohaliku nime põhjal. Haavatavuse ärakasutamiseks peab ründaja asendama oma andmed xmlBuildQName() funktsioonile edastatud eesliite ja ncname argumentidega. Haavatavuse kõrvaldamiseks on ette valmistatud parandus. Parandus on lisatud libxml2 2.14.4 versioonile. Paketi uue versiooni olekut või paranduse ettevalmistamist distributsioonides saate kontrollida järgmistel lehtedel (kui leht pole saadaval, tähendab see, et distributsiooni arendajad pole probleemi veel kaaluma hakanud): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo ja Arch (1, 2).

Kolm ülejäänud probleemi põhjustavad krahhi, mis on tingitud juba vabastatud mälupiirkonnale juurdepääsust xmlSchematronGetNode funktsioonis (CVE-2025-49794), null-pointeri viite puudumisest xmlXPathCompiledEval funktsioonis (CVE-2025-49795) ja tüüpide vale käsitlemisest (tüübisegadus) xmlSchematronFormatReport funktsioonis (CVE-2025-49796). Nende haavatavuste parandamiseks kaalutakse libxml2-st Schematroni märgistuskeele toe eemaldamist.

Lisaks on hooldamata libxslt teegis märgitud kolm parandamata haavatavust. Teavet nende probleemide kohta pole veel avaldatud ja see on kavandatud avaldamiseks 9. juulil, 13. juulil ja 6. augustil. Parandamata ja avalikult avaldamata haavatavusi on märgitud ka GNOME-iga seotud projektides gvfs, libgxps, gdm, glib, GIMP ja libsoup.

Värskendus: libxml2 hooldaja on teatanud, et nad käsitlevad nüüd haavatavusi tavaliste vigadena, mitte ei prioriseeri neid, parandavad need siis, kui neil on aega, ja avalikustavad kohe haavatavuse olemuse ilma embargot kehtestamata või aega andmata nende parandamiseks kolmandate osapoolte toodetes.

Allikas: opennet.ru