I Libxml2-biblioteket, som utvecklas av GNOME-projektet och används för att analysera innehåll i XML-format, har fem sårbarheter identifierats, varav två potentiellt kan leda till kodexekvering vid bearbetning av särskilt utformade externa data. Libxml2-biblioteket är utbrett i öppna projekt och används till exempel som ett beroende i mer än 800 paket i Ubuntu.
Den första sårbarheten (CVE-2025-6170) orsakas av en buffertöverflödning i implementationen av kommandoradstolken xmllint, som används för att analysera XML-filer. Överflödet uppstår när mycket långa kommandoradsargument behandlas på grund av bristen på korrekt storlekskontroll av indata innan data kopieras med funktionen strcpy(). För att utnyttja sårbarheten måste angriparen kunna påverka kommandona som överförs till verktyget xmllint. En patch för att åtgärda sårbarheten finns ännu inte tillgänglig.
Den andra sårbarheten (CVE-2025-6021) finns i implementationen av funktionen xmlBuildQName() och leder till skrivning av data utanför bufferten på grund av ett heltalsöverflöde vid beräkning av buffertstorleken baserat på prefix och lokalt namn. För att utnyttja sårbarheten måste angriparen lyckas ersätta sina egna data i argumenten prefix och ncname som överförs till funktionen xmlBuildQName(). En patch har förberetts för att åtgärda sårbarheten. Fixen ingår i versionen libxml2 2.14.4. Du kan kontrollera statusen för den nya versionen av paketet eller patchens beredning i distributionerna på följande sidor (om sidan inte är tillgänglig, har utvecklarna av distributionen ännu inte börjat hantera problemet): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo och Arch (1, 2).
De övriga tre problemen leder till krascher på grund av åtkomst till redan frigjord minnesområde i funktionen xmlSchematronGetNode (CVE-2025-49794), dereferensiering av en nullpekare i funktionen xmlXPathCompiledEval (CVE-2025-49795) och felaktig typbehandling (Type Confusion) i funktionen xmlSchematronFormatReport (CVE-2025-49796). För att åtgärda dessa sårbarheter övervägs possibiliteten att ta bort stödet för markup-språket Schematron från libxml2.
Det noteras också att det finns tre ouppklarade sårbarheter i biblioteket libxslt, som är utan underhåll. Information om dessa problem offentliggörs inte än och är planerad att publiceras den 9 juli, 13 juli och 6 augusti. Ouppklarade och inte offentligt kända sårbarheter noteras också i GNOME-relaterade projekt som gvfs, libgxps, gdm, glib, GIMP och libsoup.
Tillägg: Underhållaren av libxml2 har meddelat att de kommer att betrakta sårbarheterna som vanliga fel, utan att ge dem högre prioritet, istället åtgärdas de vid ledig tid och information om sårbarhetens natur offentliggörs omedelbart utan att införa embargo och ge tid för att fixa problem i tredjepartsprodukter.
Källa: opennet.ru
