V knižnici Libxml2, ktorá je vyvíjaná projektom GNOME a používa sa na analýzu obsahu vo formáte XML, bolo zistených 5 zraniteľností, z ktorých dve môžu potenciálne viesť k vykonaniu kódu pri spracovaní špeciálne pripravených externých dát. Knižnica Libxml2 je široko používaná v open-source projektoch a napríklad slúži ako závislosť v viac než 800 balíkoch v Ubuntu.
Prvá zraniteľnosť (CVE-2025-6170) je spôsobená pretečením bufferu v implementácii interaktívnej shelly xmllint, ktorá slúži na analýzu XML súborov. Pretečenie nastáva pri spracovaní veľmi dlhých argumentov príkazu kvôli neexistencii správnej kontroly veľkosti vstupných dát pred kopírovaním údajov pomocou funkcie strcpy(). Na využitie tejto zraniteľnosti musí útočník mať možnosť ovplyvniť príkazy prenášané do utility xmllint. Záplata na odstránenie zraniteľnosti zatiaľ nie je k dispozícii.
Druhá zraniteľnosť (CVE-2025-6021) sa nachádza v implementácii funkcie xmlBuildQName() a vedie k zápisu údajov mimo bufferu kvôli celočíselnému pretečeniu pri výpočte veľkosti bufferu na základe prefixu a lokálneho mena. Na využitie tejto zraniteľnosti musí útočník dosiahnuť, aby sa jeho údaje nahradili v argumentoch prefix a ncname odovzdávaných funkcii xmlBuildQName(). Na odstránenie zraniteľnosti bola pripravená záplata. Oprava je zahrnutá v verzii libxml2 2.14.4. Stav novej verzie balíka alebo pripravenie opravy v distribúciách možno overiť na nasledujúcich stránkach (ak stránka nie je dostupná, znamená to, že vývojári distribúcie ešte nezačali zvažovanie problému): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo a Arch (1, 2).
Ostatné tri problémy vedú k havárii kvôli prístupu k už uvoľnenej oblasti pamäte vo funkcii xmlSchematronGetNode (CVE-2025-49794), dereferencovaniu nulového ukazovateľa vo funkcii xmlXPathCompiledEval (CVE-2025-49795) a nesprávnemu spracovaniu typov (Type Confusion) vo funkcii xmlSchematronFormatReport (CVE-2025-49796). Na odstránenie týchto zraniteľností sa zvažuje možnosť odstránenia podpory jazyka značkovania Schematron z knižnice libxml2.
Ďalším faktom je existencia troch neopravnených zraniteľností v knižnici libxslt, ktorá zostala bez podpory. Informácie o týchto problémoch zatiaľ neboli zverejnené a publikácia je plánovaná na 9. júla, 13. júla a 6. augusta. Neopravnené a verejne nezverejnené zraniteľnosti sú tiež zaznamenané v súvisiacich projektoch GNOME, ako sú gvfs, libgxps, gdm, glib, GIMP a libsoup.
Doplnok: Poskytovateľ libxml2 oznámil, že zo zraniteľností sa budú považovať za bežné chyby bez zvýšenej priority, opravovať sa budú, keď bude čas, a okamžite zverejnia informácie o podstate zraniteľnosti bez zavedenia embarga a poskytnutia času na opravu v externých produktoch.
Zdroj: opennet.ru
