[TLP:CLEAR] libxml2 opravuje 1 zraniteľnosť
libxml2 verziami 2.11.9, 2.12.9 a 2.13.3 opravuje 1 zraniteľnosť [1].
Neautentizovanému vzdialenému útočníkovi je pomocou sociálneho inžinierstva a špeciálne vytvoreného XML súboru umožnené čítať ľubovoľné súbory v súborovom systéme [2][3]. Zraniteľnosť je regresiou zraniteľnosti CVE-2012-0037 [2], preto je na overenie zraniteľnosti systému možné použiť rovnaké PoC, ktoré je dostupné na [4].
Zraniteľnosť sa nachádza v produkte:
- libxml2; >=2.11, <2.11.9; >=2.12, <2.12.9; >=2.13, <2.13.3;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
Viac informácií:
- CVE-2024-40896 na cve.org, NVD
- CWE-611: Improper Restriction of XML External Entity Reference na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 23. 12. 2024.
Odkazy
Za CESNET, z.s.p.o. Martin Krajči dňa 2. 1. 2025.