Nella libreria Libxml2, sviluppata dal progetto GNOME e utilizzata per analizzare contenuti in formato XML, sono state identificate 5 vulnerabilità, di cui due potrebbero potenzialmente portare all'esecuzione di codice durante l'elaborazione di dati esterni appositamente formattati. La libreria Libxml2 è ampiamente utilizzata in progetti open source e, ad esempio, è una dipendenza in oltre 800 pacchetti di Ubuntu.
La prima vulnerabilità (CVE-2025-6170) è causata da un overflow del buffer nell'implementazione della shell interattiva xmllint, usata per analizzare file XML. L'overflow si verifica durante il trattamento di argomenti di comando molto lunghi a causa della mancanza di un'adeguata verifica della dimensione dei dati in ingresso prima della copia dei dati tramite la funzione strcpy(). Per sfruttare la vulnerabilità, l'attaccante deve avere la possibilità di influenzare i comandi passati all'utilità xmllint. Per ora, non è disponibile alcuna patch per risolvere questa vulnerabilità.
La seconda vulnerabilità (CVE-2025-6021) è presente nell'implementazione della funzione xmlBuildQName() e porta alla scrittura di dati al di fuori del buffer a causa di un overflow di interi nel calcolo della dimensione del buffer in base al prefisso e al nome locale. Per sfruttare la vulnerabilità, un attaccante deve riuscire a iniettare i propri dati negli argomenti prefix e ncname passati alla funzione xmlBuildQName(). È stata preparata una patch per risolvere la vulnerabilità. La correzione è inclusa nella versione libxml2 2.14.4. È possibile controllare lo stato della nuova versione del pacchetto o la disponibilità della patch nelle distribuzioni alle seguenti pagine (se la pagina non è disponibile, significa che gli sviluppatori della distribuzione non hanno ancora iniziato a esaminare il problema): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo e Arch (1, 2).
Le altre tre problematiche portano a un arresto anomalo a causa dell'accesso a una zona di memoria già liberata nella funzione xmlSchematronGetNode (CVE-2025-49794), dereferenziazione di un puntatore nullo nella funzione xmlXPathCompiledEval (CVE-2025-49795) e gestione scorretta dei tipi (Type Confusion) nella funzione xmlSchematronFormatReport (CVE-2025-49796). Per risolvere queste vulnerabilità si sta valutando la possibilità di rimuovere il supporto per il linguaggio di markup Schematron da libxml2.
Si segnala inoltre la presenza di tre vulnerabilità non corrette nella libreria libxslt, che è rimasta senza supporto. Le informazioni relative a queste problematiche non sono ancora state divulgate e sono in programma pubblicazioni per il 9 luglio, il 13 luglio e il 6 agosto. Vulnerabilità non corrette e non rese pubbliche sono anche segnalate nei progetti correlati a GNOME come gvfs, libgxps, gdm, glib, GIMP e libsoup.
Nota: Il manutentore di libxml2 ha dichiarato che d'ora in avanti tratterà le vulnerabilità come errori normali, senza dargli priorità maggiore, correggendole quando possibile e rivelando immediatamente informazioni sulla natura della vulnerabilità senza embargo e senza concedere tempo per la correzione nei prodotti di terze parti.
Fonte: opennet.ru
