Na biblioteca Libxml2, desenvolvida pelo projeto GNOME e utilizada para analisar conteúdo em formato XML, foram encontradas 5 vulnerabilidades, duas das quais podem potencialmente levar à execução de código ao processar dados externos malformados. A biblioteca Libxml2 é amplamente utilizada em projetos de código aberto e, por exemplo, é uma dependência em mais de 800 pacotes da distribuição Ubuntu.
A primeira vulnerabilidade (CVE-2025-6170) resulta de um estouro de buffer na implementação do shell interativo xmllint, usado para analisar arquivos XML. O estouro ocorre ao processar argumentos de linha de comando muito longos devido à falta de verificação adequada do tamanho dos dados de entrada antes da cópia dos dados pela função strcpy(). Para explorar a vulnerabilidade, o atacante deve ter a capacidade de influenciar os comandos passados para a ferramenta xmllint. Um patch para corrigir a vulnerabilidade ainda não está disponível.
A segunda vulnerabilidade (CVE-2025-6021) está presente na implementação da função xmlBuildQName() e leva à escrita de dados além do buffer devido a um estouro inteiro ao calcular o tamanho do buffer com base no prefixo e no nome local. Para explorar a vulnerabilidade, o atacante deve conseguir injetar seus próprios dados nos argumentos prefix e ncname passados para a função xmlBuildQName(). Um patch foi preparado para corrigir a vulnerabilidade. A correção foi incluída na versão libxml2 2.14.4. O estado da nova versão do pacote ou da preparação do patch pode ser verificado nas seguintes páginas (se a página não estiver acessível, significa que os desenvolvedores da distribuição ainda não começaram a tratar o problema): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo e Arch (1, 2).
Os outros três problemas levam a falhas devido ao acesso a áreas de memória já liberadas na função xmlSchematronGetNode (CVE-2025-49794), desreferenciamento de ponteiro nulo na função xmlXPathCompiledEval (CVE-2025-49795) e tratamento incorreto de tipos (Type Confusion) na função xmlSchematronFormatReport (CVE-2025-49796). Para corrigir essas vulnerabilidades, está sendo considerada a remoção do suporte ao esquema de marcação Schematron na libxml2.
Além disso, observou-se a existência de três vulnerabilidades não corrigidas na biblioteca libxslt, que não possui manutenção. As informações sobre esses problemas ainda não foram divulgadas e estão programadas para publicação em 9 de julho, 13 de julho e 6 de agosto. Vulnerabilidades não corrigidas e não divulgadas publicamente também estão presentes em projetos relacionados ao GNOME, como gvfs, libgxps, gdm, glib, GIMP e libsoup.
Adendo: O mantenedor do libxml2 anunciou que agora tratará as vulnerabilidades como erros comuns, não as priorizando mais, corrigindo-as quando houver tempo livre e divulgando imediatamente informações sobre a natureza da vulnerabilidade, sem impor embargo e dando tempo para a correção em produtos de terceiros.
Fonte: opennet.ru
