I Libxml2-biblioteket, som utvecklas av GNOME-projektet och anvÀnds för att analysera innehÄll i XML-format, har fem sÄrbarheter identifierats, varav tvÄ potentiellt kan leda till kodexekvering vid bearbetning av sÀrskilt utformade externa data. Libxml2-biblioteket Àr utbrett i öppna projekt och anvÀnds till exempel som ett beroende i mer Àn 800 paket i Ubuntu.
Den första sĂ„rbarheten (CVE-2025-6170) orsakas av en buffertöverflödning i implementationen av kommandoradstolken xmllint, som anvĂ€nds för att analysera XML-filer. Ăverflödet uppstĂ„r nĂ€r mycket lĂ„nga kommandoradsargument behandlas pĂ„ grund av bristen pĂ„ korrekt storlekskontroll av indata innan data kopieras med funktionen strcpy(). För att utnyttja sĂ„rbarheten mĂ„ste angriparen kunna pĂ„verka kommandona som överförs till verktyget xmllint. En patch för att Ă„tgĂ€rda sĂ„rbarheten finns Ă€nnu inte tillgĂ€nglig.
Den andra sÄrbarheten (CVE-2025-6021) finns i implementationen av funktionen xmlBuildQName() och leder till skrivning av data utanför bufferten pÄ grund av ett heltalsöverflöde vid berÀkning av buffertstorleken baserat pÄ prefix och lokalt namn. För att utnyttja sÄrbarheten mÄste angriparen lyckas ersÀtta sina egna data i argumenten prefix och ncname som överförs till funktionen xmlBuildQName(). En patch har förberetts för att ÄtgÀrda sÄrbarheten. Fixen ingÄr i versionen libxml2 2.14.4. Du kan kontrollera statusen för den nya versionen av paketet eller patchens beredning i distributionerna pÄ följande sidor (om sidan inte Àr tillgÀnglig, har utvecklarna av distributionen Ànnu inte börjat hantera problemet): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo och Arch (1, 2).
De övriga tre problemen leder till krascher pÄ grund av Ätkomst till redan frigjord minnesomrÄde i funktionen xmlSchematronGetNode (CVE-2025-49794), dereferensiering av en nullpekare i funktionen xmlXPathCompiledEval (CVE-2025-49795) och felaktig typbehandling (Type Confusion) i funktionen xmlSchematronFormatReport (CVE-2025-49796). För att ÄtgÀrda dessa sÄrbarheter övervÀgs possibiliteten att ta bort stödet för markup-sprÄket Schematron frÄn libxml2.
Det noteras ocksÄ att det finns tre ouppklarade sÄrbarheter i biblioteket libxslt, som Àr utan underhÄll. Information om dessa problem offentliggörs inte Àn och Àr planerad att publiceras den 9 juli, 13 juli och 6 augusti. Ouppklarade och inte offentligt kÀnda sÄrbarheter noteras ocksÄ i GNOME-relaterade projekt som gvfs, libgxps, gdm, glib, GIMP och libsoup.
TillÀgg: UnderhÄllaren av libxml2 har meddelat att de kommer att betrakta sÄrbarheterna som vanliga fel, utan att ge dem högre prioritet, istÀllet ÄtgÀrdas de vid ledig tid och information om sÄrbarhetens natur offentliggörs omedelbart utan att införa embargo och ge tid för att fixa problem i tredjepartsprodukter.
KĂ€lla: opennet.ru
