Lima kerentanan parantos diidentifikasi dina pustaka Libxml2, anu dikembangkeun ku proyék GNOME sareng dianggo pikeun nganalisis eusi XML, dua di antarana berpotensi nyababkeun palaksanaan kode nalika ngolah data éksternal anu didamel khusus. Libxml2 seueur dianggo dina proyék sumber terbuka sareng, contona, dianggo salaku dependensi dina langkung ti 800 pakét. Ubuntu.
Kerentanan munggaran (CVE-2025-6170) disababkeun ku overflow panyangga dina palaksanaan cangkang interaktif xmllint anu dianggo pikeun nga-parse file XML. Overflow lumangsung nalika ngolah argumen paréntah anu panjang pisan kusabab kurangna validasi anu leres tina ukuran data input sateuacan nyalin data nganggo fungsi strcpy (). Pikeun ngamangpaatkeun kerentanan, panyerang kedah tiasa mangaruhan paréntah anu disalurkeun ka utilitas xmllint. A patch pikeun ngalereskeun kerentanan henteu acan sayogi.
Kerentanan kadua (CVE-2025-6021) aya dina palaksanaan fungsi xmlBuildQName() sareng nyababkeun panulisan di luar wates kusabab limpahan integer nalika ngitung ukuran buffer dumasar kana awalan sareng nami lokal. Pikeun ngamangpaatkeun kerentanan ieu, panyerang kedah ngagentos datana nyalira kana argumen awalan sareng ncname anu dikirimkeun ka fungsi xmlBuildQName(). Patch parantos disiapkeun pikeun ngatasi kerentanan ieu. Perbaikan kalebet dina rilis libxml2 2.14.4. Anjeun tiasa mariksa status vérsi pakét énggal atanapi persiapan patch dina distribusi dina halaman-halaman ieu (upami halaman henteu sayogi, pamekar distribusi tacan ngamimitian nalungtik masalahna): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo sareng Arch (1, 2).
Tilu masalah anu sanésna nyababkeun kacilakaan kusabab aksés kana mémori anu parantos dileupaskeun dina fungsi xmlSchematronGetNode (CVE-2025-49794), dereferensi pointer nol dina fungsi xmlXPathCompiledEval (CVE-2025-49795), sareng pananganan jinis anu salah (Type xml Confusion) (CVE-2025-49796). Pikeun ngatasi kerentanan ieu, kamungkinan pikeun ngahapus dukungan pikeun basa markup Schematron tina libxml2 nuju dipertimbangkeun.
Sajaba ti, tilu kerentanan unpatched nyatet dina perpustakaan libxslt unmaintained. Inpormasi ngeunaan masalah ieu henteu acan diungkabkeun sareng dijadwalkeun pikeun diterbitkeun dina 9 Juli, 13 Juli, sareng 6 Agustus. Kerentanan anu teu diungkabkeun sareng henteu diungkabkeun sacara umum ogé kacatet dina proyék-proyék GNOME gvfs, libgxps, gdm, glib, GIMP, sareng libsoup.
Update: The libxml2 maintainer geus ngumumkeun yén maranéhna ayeuna bakal ngubaran vulnerabilities salaku bug biasa, moal prioritas aranjeunna, ngalereskeun aranjeunna nalika aranjeunna gaduh waktos, sarta geuwat nyingkab sipat kerentanan tanpa maksakeun hiji embargo atawa méré waktu pikeun ngalereskeun aranjeunna dina produk pihak katilu.
sumber: opennet.ru
