libxml2 ๋ผ์ด๋ธŒ๋Ÿฌ๋ฆฌ์˜ ์ทจ์•ฝ์ ์œผ๋กœ ์ธํ•ด ์ฝ”๋“œ ์‹คํ–‰์ด ๋ฐœ์ƒํ•  ์ˆ˜ ์žˆ์Œ

GNOME ํ”„๋กœ์ ํŠธ์—์„œ ๊ฐœ๋ฐœํ•˜๊ณ  XML ์ฝ˜ํ…์ธ  ํŒŒ์‹ฑ์— ์‚ฌ์šฉ๋˜๋Š” Libxml2 ๋ผ์ด๋ธŒ๋Ÿฌ๋ฆฌ์—์„œ ๋‹ค์„ฏ ๊ฐ€์ง€ ์ทจ์•ฝ์ ์ด ๋ฐœ๊ฒฌ๋˜์—ˆ์Šต๋‹ˆ๋‹ค. ์ด ์ค‘ ๋‘ ๊ฐ€์ง€๋Š” ํŠน์ˆ˜ํ•œ ํ˜•์‹์˜ ์™ธ๋ถ€ ๋ฐ์ดํ„ฐ๋ฅผ ์ฒ˜๋ฆฌํ•  ๋•Œ ์ž ์žฌ์ ์œผ๋กœ ์ฝ”๋“œ ์‹คํ–‰์„ ์œ ๋ฐœํ•  ์ˆ˜ ์žˆ์Šต๋‹ˆ๋‹ค. Libxml5 ๋ผ์ด๋ธŒ๋Ÿฌ๋ฆฌ๋Š” ์˜คํ”ˆ์†Œ์Šค ํ”„๋กœ์ ํŠธ์—์„œ ๋„๋ฆฌ ์‚ฌ์šฉ๋˜๊ณ  ์žˆ์œผ๋ฉฐ, ์˜ˆ๋ฅผ ๋“ค์–ด Ubuntu์—์„œ 2๊ฐœ ์ด์ƒ์˜ ํŒจํ‚ค์ง€์— ์ข…์†์„ฑ์œผ๋กœ ์‚ฌ์šฉ๋ฉ๋‹ˆ๋‹ค.

์ฒซ ๋ฒˆ์งธ ์ทจ์•ฝ์ (CVE-2025-6170)์€ XML ํŒŒ์ผ ํŒŒ์‹ฑ์— ์‚ฌ์šฉ๋˜๋Š” xmllint ๋Œ€ํ™”ํ˜• ์…ธ ๊ตฌํ˜„์˜ ๋ฒ„ํผ ์˜ค๋ฒ„ํ”Œ๋กœ์šฐ๋กœ ์ธํ•ด ๋ฐœ์ƒํ•ฉ๋‹ˆ๋‹ค. ์ด ์˜ค๋ฒ„ํ”Œ๋กœ์šฐ๋Š” strcpy() ํ•จ์ˆ˜๋ฅผ ์‚ฌ์šฉํ•˜์—ฌ ๋ฐ์ดํ„ฐ๋ฅผ ๋ณต์‚ฌํ•˜๊ธฐ ์ „์— ์ž…๋ ฅ ๋ฐ์ดํ„ฐ ํฌ๊ธฐ์— ๋Œ€ํ•œ ์ ์ ˆํ•œ ๊ฒ€์ฆ์ด ์ด๋ฃจ์–ด์ง€์ง€ ์•Š์•„ ๋งค์šฐ ๊ธด ๋ช…๋ น ์ธ์ˆ˜๋ฅผ ์ฒ˜๋ฆฌํ•  ๋•Œ ๋ฐœ์ƒํ•ฉ๋‹ˆ๋‹ค. ์ด ์ทจ์•ฝ์ ์„ ์•…์šฉํ•˜๋ ค๋ฉด ๊ณต๊ฒฉ์ž๊ฐ€ xmllint ์œ ํ‹ธ๋ฆฌํ‹ฐ์— ์ „๋‹ฌ๋˜๋Š” ๋ช…๋ น์— ์˜ํ–ฅ์„ ๋ฏธ์น  ์ˆ˜ ์žˆ์–ด์•ผ ํ•ฉ๋‹ˆ๋‹ค. ์ด ์ทจ์•ฝ์ ์„ ์ˆ˜์ •ํ•˜๋Š” ํŒจ์น˜๋Š” ์•„์ง ์ œ๊ณต๋˜์ง€ ์•Š์•˜์Šต๋‹ˆ๋‹ค.

๋‘ ๋ฒˆ์งธ ์ทจ์•ฝ์ (CVE-2025-6021)์€ xmlBuildQName() ํ•จ์ˆ˜ ๊ตฌํ˜„์— ์กด์žฌํ•˜๋ฉฐ, ์ ‘๋‘์‚ฌ์™€ ๋กœ์ปฌ ์ด๋ฆ„์„ ๊ธฐ๋ฐ˜์œผ๋กœ ๋ฒ„ํผ ํฌ๊ธฐ๋ฅผ ๊ณ„์‚ฐํ•  ๋•Œ ์ •์ˆ˜ ์˜ค๋ฒ„ํ”Œ๋กœ๊ฐ€ ๋ฐœ์ƒํ•˜์—ฌ ๋ฒ„ํผ๋ฅผ ์ดˆ๊ณผํ•˜๋Š” ๋ฐ์ดํ„ฐ๋ฅผ ์“ฐ๊ฒŒ ๋ฉ๋‹ˆ๋‹ค. ์ด ์ทจ์•ฝ์ ์„ ์•…์šฉํ•˜๋ ค๋ฉด ๊ณต๊ฒฉ์ž๋Š” xmlBuildQName() ํ•จ์ˆ˜์— ์ „๋‹ฌ๋œ ์ ‘๋‘์‚ฌ ๋ฐ ncname ์ธ์ˆ˜์— ์ž์‹ ์˜ ๋ฐ์ดํ„ฐ๋ฅผ ๋Œ€์ž…ํ•ด์•ผ ํ•ฉ๋‹ˆ๋‹ค. ์ด ์ทจ์•ฝ์ ์„ ์ œ๊ฑฐํ•˜๊ธฐ ์œ„ํ•œ ํŒจ์น˜๊ฐ€ ์ค€๋น„๋˜์—ˆ์Šต๋‹ˆ๋‹ค. ์ด ์ˆ˜์ • ์‚ฌํ•ญ์€ libxml2 2.14.4 ๋ฆด๋ฆฌ์Šค์— ํฌํ•จ๋˜์–ด ์žˆ์Šต๋‹ˆ๋‹ค. ๋‹ค์Œ ํŽ˜์ด์ง€์—์„œ ํŒจํ‚ค์ง€์˜ ์ƒˆ ๋ฒ„์ „ ์ƒํƒœ ๋˜๋Š” ๋ฐฐํฌํŒ์˜ ์ˆ˜์ • ์‚ฌํ•ญ ์ค€๋น„ ์ƒํ™ฉ์„ ํ™•์ธํ•  ์ˆ˜ ์žˆ์Šต๋‹ˆ๋‹ค(ํŽ˜์ด์ง€๋ฅผ ์‚ฌ์šฉํ•  ์ˆ˜ ์—†๋Š” ๊ฒฝ์šฐ ๋ฐฐํฌํŒ ๊ฐœ๋ฐœ์ž๊ฐ€ ์•„์ง ์ด ๋ฌธ์ œ๋ฅผ ๊ณ ๋ คํ•˜์ง€ ์•Š์•˜์Œ์„ ์˜๋ฏธํ•ฉ๋‹ˆ๋‹ค): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo ๋ฐ Arch(1, 2).

๋‚˜๋จธ์ง€ ์„ธ ๊ฐ€์ง€ ๋ฌธ์ œ๋Š” xmlSchematronGetNode ํ•จ์ˆ˜์—์„œ ์ด๋ฏธ ํ•ด์ œ๋œ ๋ฉ”๋ชจ๋ฆฌ ์˜์—ญ์— ๋Œ€ํ•œ ์ ‘๊ทผ(CVE-2025-49794), xmlXPathCompiledEval ํ•จ์ˆ˜์—์„œ ๋„ ํฌ์ธํ„ฐ ์—ญ์ฐธ์กฐ(CVE-2025-49795), ๊ทธ๋ฆฌ๊ณ  xmlSchematronFormatReport ํ•จ์ˆ˜์—์„œ ์ž˜๋ชป๋œ ์œ ํ˜• ์ฒ˜๋ฆฌ(์œ ํ˜• ํ˜ผ๋™)(CVE-2025-49796)๋กœ ์ธํ•ด ์ถฉ๋Œ์„ ์œ ๋ฐœํ•ฉ๋‹ˆ๋‹ค. ์ด๋Ÿฌํ•œ ์ทจ์•ฝ์ ์„ ํ•ด๊ฒฐํ•˜๊ธฐ ์œ„ํ•ด libxml2์—์„œ Schematron ๋งˆํฌ์—… ์–ธ์–ด ์ง€์›์„ ์ค‘๋‹จํ•˜๋Š” ๋ฐฉ์•ˆ์ด ๊ฒ€ํ† ๋˜๊ณ  ์žˆ์Šต๋‹ˆ๋‹ค.

๋˜ํ•œ, ์œ ์ง€ ๊ด€๋ฆฌ๋˜์ง€ ์•Š๋Š” libxslt ๋ผ์ด๋ธŒ๋Ÿฌ๋ฆฌ์—์„œ ํŒจ์น˜๋˜์ง€ ์•Š์€ ์ทจ์•ฝ์  ์„ธ ๊ฐœ๊ฐ€ ๋ฐœ๊ฒฌ๋˜์—ˆ์Šต๋‹ˆ๋‹ค. ์ด๋Ÿฌํ•œ ๋ฌธ์ œ์— ๋Œ€ํ•œ ์ •๋ณด๋Š” ์•„์ง ๊ณต๊ฐœ๋˜์ง€ ์•Š์•˜์œผ๋ฉฐ, 9์›” 13์ผ, 6์›” XNUMX์ผ, ๊ทธ๋ฆฌ๊ณ  XNUMX์›” XNUMX์ผ์— ๊ณต๊ฐœ๋  ์˜ˆ์ •์ž…๋‹ˆ๋‹ค. GNOME ๊ด€๋ จ ํ”„๋กœ์ ํŠธ์ธ gvfs, libgxps, gdm, glib, GIMP, libsoup์—์„œ๋„ ํŒจ์น˜๋˜์ง€ ์•Š๊ณ  ๊ณต๊ฐœ๋˜์ง€ ์•Š์€ ์ทจ์•ฝ์ ์ด ๋ฐœ๊ฒฌ๋˜์—ˆ์Šต๋‹ˆ๋‹ค.

์—…๋ฐ์ดํŠธ: libxml2 ์œ ์ง€ ๊ด€๋ฆฌ์ž๋Š” ์ด์ œ ์ทจ์•ฝ์ ์„ ์ผ๋ฐ˜ ๋ฒ„๊ทธ๋กœ ์ฒ˜๋ฆฌํ•˜๊ณ , ์šฐ์„ ์ˆœ์œ„๋ฅผ ์ •ํ•˜์ง€ ์•Š๊ณ , ์‹œ๊ฐ„์ด ์žˆ์„ ๋•Œ ์ˆ˜์ •ํ•˜๊ณ , ํƒ€์‚ฌ ์ œํ’ˆ์—์„œ ์ทจ์•ฝ์ ์„ ์ˆ˜์ •ํ•  ์‹œ๊ฐ„์„ ์ฃผ๊ฑฐ๋‚˜ ๊ธˆ์ง€ ์กฐ์น˜๋ฅผ ์ทจํ•˜์ง€ ์•Š๊ณ  ์ทจ์•ฝ์ ์˜ ํŠน์„ฑ์„ ์ฆ‰์‹œ ๊ณต๊ฐœํ•œ๋‹ค๊ณ  ๋ฐœํ‘œํ–ˆ์Šต๋‹ˆ๋‹ค.

์ถœ์ฒ˜ : opennet.ru