GNOMEプロジェクトが開発し、XMLコンテンツの解析に使用されるLibxml2ライブラリに5つの脆弱性が確認されました。そのうち2つは、特別に細工された外部データを処理する際に、コード実行につながる可能性があります。Libxml2はオープンソースプロジェクトで広く使用されており、例えば800以上のパッケージで依存関係として使用されています。 Ubuntu.
最初の脆弱性（CVE-2025-6170）は、XMLファイルの解析に使用されるxmllint対話型シェルの実装におけるバッファオーバーフローに起因します。このオーバーフローは、strcpy()関数を使用してデータをコピーする前に入力データのサイズが適切に検証されていないため、非常に長いコマンド引数を処理する際に発生します。この脆弱性を悪用するには、攻撃者はxmllintユーティリティに渡されるコマンドに影響を及ぼす必要があります。この脆弱性を修正するパッチはまだ提供されていません。
2つ目の脆弱性（CVE-2025-6021）は、xmlBuildQName() 関数の実装に存在し、プレフィックスとローカル名に基づいてバッファサイズを計算する際に整数オーバーフローが発生し、範囲外書き込みを引き起こします。この脆弱性を悪用するには、攻撃者は xmlBuildQName() 関数に渡される prefix および ncname 引数に独自のデータを置き換える必要があります。この脆弱性に対処するためのパッチが既に用意されています。修正は libxml2 2.14.4 リリースに含まれています。新しいパッケージバージョンの状況や、ディストリビューションにおけるパッチの準備状況は、以下のページで確認できます（ページが表示されない場合は、ディストリビューション開発者がまだ問題の調査を開始していないことを意味します）。 Debian, UbuntuFedora、SUSE/openSUSE、RHEL、Gentoo、Arch (1、2)。
他の2025つの脆弱性は、xmlSchematronGetNode関数における既に解放済みのメモリ領域へのアクセス（CVE-49794-2025）、xmlXPathCompiledEval関数におけるヌルポインタ参照（CVE-49795-2025）、およびxmlSchematronFormatReport関数における型の不適切な処理（型の混乱）（CVE-49796-2）によりクラッシュを引き起こします。これらの脆弱性に対処するため、libxmlXNUMXからSchematronマークアップ言語のサポートを削除する可能性が検討されています。
さらに、メンテナンスされていないlibxsltライブラリに、未修正の脆弱性が9件発見されています。これらの問題に関する情報はまだ公開されておらず、13月6日、XNUMX月XNUMX日、XNUMX月XNUMX日に公開される予定です。GNOME関連プロジェクトであるgvfs、libgxps、gdm、glib、GIMP、libsoupにも、未修正かつ未公開の脆弱性が発見されています。
更新: libxml2 のメンテナーは、脆弱性を通常のバグとして扱い、優先順位を付けず、時間があるときに修正し、禁輸措置を課したりサードパーティ製品で修正するための時間を与えたりせずに脆弱性の性質を直ちに開示すると発表しました。
出所： オープンネット.ru
