A GNOME projekt által fejlesztett Libxml2 könyvtárban, amelyet XML-formátumú tartalom feldolgozására használnak, öt sebezhetőséget azonosítottak, amelyek közül kettő potenciálisan kódvégrehajtáshoz vezethet, ha speciálisan formázott külső adatokat dolgoznak fel. A Libxml2 könyvtár széles körben elterjedt nyílt forráskódú projektekben, és például több mint 800 Ubuntu csomag függőségeként is használják.
Az első sebezhetőség (CVE-2025-6170) egy puffer túlcsordulásból ered az xmllint interaktív parancssori eszköz megvalósításában, amely XML fájlok elemzésére szolgál. A túlcsordulás a parancssori argumentumok túl hosszú mérete miatt következik be, mivel a bemeneti adatok méretének helyes ellenőrzése hiányzik a strcpy() függvény által történő másolás előtt. A sebezhetőség kihasználásához a támadónak befolyásolnia kell a xmllint-nek átadott parancsokat. A sebezhetőség javítására vonatkozó javítás jelenleg nem elérhető.
A második sebezhetőség (CVE-2025-6021) az xmlBuildQName() függvény megvalósításában található, és puffertúlcsordulást okoz, mivel a puffer méretének meghatározása a prefix és a lokális név alapján nem megfelelően valósul meg. A sebezhetőség kihasználásához a támadónak módosítania kell az xmlBuildQName() függvénynek átadott prefix és ncname argumentumokat. A sebezhetőség javítására elkészült egy javítás. A javítás a libxml2 2.14.4-es kiadásába került. Az új csomag állapotát vagy a javítás előkészítését az alábbi oldalakon ellenőrizheti (ha az oldal nem elérhető, az azt jelenti, hogy a disztribúció fejlesztői még nem kezdték el a probléma megvizsgálását): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo és Arch (1, 2).
A további három probléma a már felszabadított memória terület eléréséhez vezet az xmlSchematronGetNode (CVE-2025-49794) függvényben, null pointer dereferáláshoz az xmlXPathCompiledEval (CVE-2025-49795) függvényben és típuskeveréshez (Type Confusion) az xmlSchematronFormatReport függvényben (CVE-2025-49796). E sebezhetőségek kezelésére a libxml2-ből a Schematron jelölőnyelv támogatásának eltávolítását vizsgálják.
Továbbá megemlítjük, hogy három javítatlan sérülékenység van a libxslt könyvtárban, amely nincs támogatva. Ezekről a problémákról egyelőre nincs információ, a közzétételük július 9-re, július 13-ra és augusztus 6-ra van tervezve. A javítatlan és nyilvánosan nem közzétett sérülékenységeket a GNOME-mal kapcsolatos projektekben, mint a gvfs, libgxps, gdm, glib, GIMP és libsoup is rögzítik.
Kiegészítés: A libxml2 támogatója bejelentette, hogy a jövőben a sérülékenységeket normál hibaként kezeli, nem prioritizálva azokat, javítva, ha ideje engedi, és azonnal közzétéve a sérülékenység lényegét, anélkül, hogy embargót vezetne be vagy időt biztosítana a harmadik fél termékeiben való javításra.
Forrás: opennet.ru
