എക്സ്എംഎൽ ഡാറ്റ പ്രോസസ്സ് ചെയ്യുമ്പോൾ കോഡ് എക്സിക്യൂഷനിലേക്ക് നയിക്കുന്ന എക്സ്പാറ്റ് ലൈബ്രറിയിലെ കേടുപാടുകൾ

അപ്പാച്ചെ httpd, OpenOffice, LibreOffice, Firefox, Chromium, Python, Wayland എന്നിവയുൾപ്പെടെ നിരവധി പ്രോജക്ടുകളിൽ XML ഫോർമാറ്റ് പാഴ്‌സ് ചെയ്യാൻ ഉപയോഗിക്കുന്ന Expat 2.4.5 ലൈബ്രറി, അപകടകരമായ അഞ്ച് കേടുപാടുകൾ ഇല്ലാതാക്കുന്നു, അവയിൽ നാലെണ്ണം നിങ്ങളുടെ എക്‌സിക്യൂഷൻ ഓർഗനൈസുചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്നു. libexpat ഉപയോഗിച്ച് ആപ്ലിക്കേഷനുകളിൽ പ്രത്യേകം രൂപകൽപ്പന ചെയ്ത XML ഡാറ്റ പ്രോസസ്സ് ചെയ്യുമ്പോൾ കോഡ്. രണ്ട് കേടുപാടുകൾക്കായി, പ്രവർത്തന ചൂഷണങ്ങൾ റിപ്പോർട്ട് ചെയ്യപ്പെടുന്നു. Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux എന്നീ പേജുകളിലെ വിതരണങ്ങളിലെ പാക്കേജ് അപ്‌ഡേറ്റുകളുടെ പ്രസിദ്ധീകരണങ്ങൾ നിങ്ങൾക്ക് പിന്തുടരാനാകും.

തിരിച്ചറിഞ്ഞ കേടുപാടുകൾ:

• CVE-2022-25235 - യൂണികോഡ് പ്രതീകങ്ങളുടെ എൻകോഡിംഗിന്റെ തെറ്റായ പരിശോധന കാരണം ഒരു ബഫർ ഓവർഫ്ലോ, XML-ൽ 2-ഉം 3-ബൈറ്റ് UTF-8 പ്രതീകങ്ങളുടെ പ്രത്യേകം ഫോർമാറ്റ് ചെയ്‌ത സീക്വൻസുകൾ പ്രോസസ്സ് ചെയ്യുമ്പോൾ കോഡ് എക്‌സിക്യൂഷനിലേക്ക് (ഒരു ചൂഷണമുണ്ട്) നയിച്ചേക്കാം. ടാഗ് പേരുകൾ.
• CVE-2022-25236 - ഒരു യുആർഐയിലെ "xmlns[:prefix]" ആട്രിബ്യൂട്ടുകളുടെ മൂല്യങ്ങളിലേക്ക് നെയിംസ്പേസ് ഡിലിമിറ്റർ പ്രതീകങ്ങൾ മാറ്റിസ്ഥാപിക്കാനുള്ള സാധ്യത. ആക്രമണകാരികളുടെ ഡാറ്റ പ്രോസസ്സ് ചെയ്യുമ്പോൾ കോഡ് നിർവ്വഹണം സംഘടിപ്പിക്കാൻ ദുർബലത നിങ്ങളെ അനുവദിക്കുന്നു (ഒരു ചൂഷണം ലഭ്യമാണ്).
• CVE-2022-25313 ഒരു "ഡോക്‌ടൈപ്പ്" (DTD) ബ്ലോക്ക് പാഴ്‌സ് ചെയ്യുമ്പോൾ സ്റ്റാക്ക് ക്ഷീണം സംഭവിക്കുന്നു, 2 MB-യിൽ കൂടുതലുള്ള ഫയലുകളിൽ കാണുന്നത് പോലെ, വളരെ വലിയ ഓപ്പൺ പരാൻതീസിസുകൾ ഉൾപ്പെടുന്നു. സിസ്റ്റത്തിൽ സ്വന്തം കോഡിന്റെ നിർവ്വഹണം സംഘടിപ്പിക്കാൻ ഈ ദുർബലത ഉപയോഗപ്പെടുത്താൻ സാധ്യതയുണ്ട്.
• CVE-2022-25315 എന്നത് storeRawNames ഫംഗ്‌ഷനിലെ ഒരു ഇന്റിജർ ഓവർഫ്ലോ ആണ്, അത് 64-ബിറ്റ് സിസ്റ്റങ്ങളിൽ മാത്രം സംഭവിക്കുകയും ജിഗാബൈറ്റ് ഡാറ്റ പ്രോസസ്സ് ചെയ്യേണ്ടതുമാണ്. സിസ്റ്റത്തിൽ സ്വന്തം കോഡിന്റെ നിർവ്വഹണം സംഘടിപ്പിക്കാൻ ഈ ദുർബലത ഉപയോഗപ്പെടുത്താൻ സാധ്യതയുണ്ട്.
• CVE-2022-25314 എന്നത് കോപ്പിസ്ട്രിംഗ് ഫംഗ്‌ഷനിലെ ഒരു ഇന്റിജർ ഓവർഫ്ലോ ആണ്, അത് 64-ബിറ്റ് സിസ്റ്റങ്ങളിൽ മാത്രം സംഭവിക്കുകയും ജിഗാബൈറ്റ് ഡാറ്റ പ്രോസസ്സ് ചെയ്യേണ്ടതുമാണ്. പ്രശ്നം സേവനം നിരസിക്കാൻ ഇടയാക്കിയേക്കാം.
  
  അവലംബം: opennet.ru