Nella libreria Libxml2, sviluppata dal progetto GNOME e utilizzata per analizzare contenuti in formato XML, sono state identificate 5 vulnerabilità, due delle quali potrebbero potenzialmente consentire l'esecuzione di codice durante l'elaborazione di dati esterni appositamente formattati. La libreria Libxml2 è ampiamente utilizzata nei progetti open source e, ad esempio, è utilizzata come dipendenza in oltre 800 pacchetti di Ubuntu.
La prima vulnerabilità (CVE-2025-6170) è causata da un overflow del buffer nell'implementazione della shell interattiva xmllint, utilizzata per analizzare file XML. L'overflow si verifica durante l'elaborazione di argomenti di comando molto lunghi a causa della mancanza di un'adeguata verifica delle dimensioni dei dati in ingresso prima di copiare i dati tramite la funzione strcpy(). Per sfruttare la vulnerabilità, l'attaccante deve essere in grado di influenzare i comandi passati all'utility xmllint. Una patch per risolvere la vulnerabilità non è ancora disponibile.
La seconda vulnerabilità (CVE-2025-6021) si trova nell'implementazione della funzione xmlBuildQName() e provoca la scrittura di dati oltre il buffer a causa di un overflow intero durante il calcolo della dimensione del buffer basato sul prefisso e sul nome locale. Per sfruttare la vulnerabilità, l'attaccante deve riuscire a inserire i propri dati negli argomenti prefix e ncname passati alla funzione xmlBuildQName(). È stata preparata una patch per risolvere la vulnerabilità. La correzione è inclusa nella versione libxml2 2.14.4. È possibile verificare lo stato della nuova versione del pacchetto o la preparazione della correzione nelle distribuzioni alle seguenti pagine (se la pagina non è disponibile, significa che gli sviluppatori della distribuzione non hanno ancora iniziato a trattare il problema): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo e Arch (1, 2).
Le altre tre problematiche portano a un arresto anomalo a causa dell'accesso a una zona di memoria già liberata nella funzione xmlSchematronGetNode (CVE-2025-49794), della dereferenziazione di un puntatore nullo nella funzione xmlXPathCompiledEval (CVE-2025-49795) e di una gestione errata dei tipi (Type Confusion) nella funzione xmlSchematronFormatReport (CVE-2025-49796). Per risolvere queste vulnerabilità, si sta valutando la possibilità di rimuovere dal libxml2 il supporto per il linguaggio di markup Schematron.
Si segnala inoltre la presenza di tre vulnerabilità non risolte nella libreria libxslt, rimasta senza supporto. Le informazioni su questi problemi non sono ancora state divulgate e sono previste per la pubblicazione il 9 luglio, il 13 luglio e il 6 agosto. Vulnerabilità non risolte e non pubblicamente divulgate sono anche segnalate nei progetti correlati a GNOME come gvfs, libgxps, gdm, glib, GIMP e libsoup.
Aggiornamento: Il maintainer di libxml2 ha annunciato che d'ora in poi tratterà le vulnerabilità come normali bug, non dandogli maggiore priorità, correggendole quando si presenta del tempo libero e rivelando immediatamente la natura della vulnerabilità senza imporre embargo e fornire il tempo per la risoluzione nei prodotti di terze parti.
Fonte: opennet.ru
