libxml2 teegi haavatavused, mis võivad viia koodi käivitamiseni

GNOME projekti poolt välja töötatud ja XML-sisu parsimiseks kasutatavas Libxml2 teegis on tuvastatud viis haavatavust, millest kaks võivad potentsiaalselt viia koodi käivitamiseni spetsiaalselt loodud välisandmete töötlemisel. Libxml2-te kasutatakse laialdaselt avatud lähtekoodiga projektides ja näiteks sõltuvusena enam kui 800 paketis. Ubuntu.

Esimene haavatavus (CVE-2025-6170) on põhjustatud puhvri ületäitumisest XML-failide parsimiseks kasutatava interaktiivse shelli xmllint implementatsioonis. Ületäitumine tekib väga pikkade käskude argumentide töötlemisel, kuna enne andmete kopeerimist strcpy() funktsiooni abil ei ole sisendandmete suurust korralikult valideeritud. Haavatavuse ärakasutamiseks peab ründaja suutma mõjutada xmllint utiliidile edastatavaid käske. Haavatavuse parandamiseks pole veel saadaval parandust.

Teine haavatavus (CVE-2025-6021) esineb xmlBuildQName() funktsiooni implementatsioonis ja põhjustab puhvri suuruse arvutamisel eesliite ja kohaliku nime põhjal täisarvu ületäitumise tõttu piiridest väljas kirjutamise. Selle haavatavuse ärakasutamiseks peab ründaja asendama oma andmed xmlBuildQName() funktsioonile edastatud eesliite ja ncname argumentidesse. Selle haavatavuse parandamiseks on ette valmistatud parandus. Parandus on lisatud libxml2 2.14.4 versioonile. Uue paketi versiooni või paranduse ettevalmistuse olekut saate kontrollida järgmistel lehtedel (kui leht pole saadaval, ei ole distributsiooni arendajad veel probleemi uurima hakanud): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo ja Arch (1, 2).

Kolm ülejäänud probleemi põhjustavad krahhi, mis on tingitud juba vabastatud mälupiirkonnale juurdepääsust xmlSchematronGetNode funktsioonis (CVE-2025-49794), null-pointeri viite puudumisest xmlXPathCompiledEval funktsioonis (CVE-2025-49795) ja tüüpide vale käsitlemisest (tüübisegadus) xmlSchematronFormatReport funktsioonis (CVE-2025-49796). Nende haavatavuste parandamiseks kaalutakse libxml2-st Schematroni märgistuskeele toe eemaldamist.

Lisaks on hooldamata libxslt teegis märgitud kolm parandamata haavatavust. Teavet nende probleemide kohta pole veel avaldatud ja see on kavandatud avaldamiseks 9. juulil, 13. juulil ja 6. augustil. Parandamata ja avalikult avaldamata haavatavusi on märgitud ka GNOME-iga seotud projektides gvfs, libgxps, gdm, glib, GIMP ja libsoup.

Värskendus: libxml2 hooldaja on teatanud, et nad käsitlevad nüüd haavatavusi tavaliste vigadena, mitte ei prioriseeri neid, parandavad need siis, kui neil on aega, ja avalikustavad kohe haavatavuse olemuse ilma embargot kehtestamata või aega andmata nende parandamiseks kolmandate osapoolte toodetes.

Allikas: opennet.ru