Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] libxml2 opravuje 3 zranitelnosti
libxml2 verzemi 2.12.10 a 2.13.6 opravuje 3 zranitelnosti [1][2][3], které zatím opravil pouze Slackware [4].
Neautentizovanému lokálnímu útočníkovi je umožněno vložením speciálně vytvořeného XML souboru neoprávněně přistupovat do paměti [1].
Zranitelnost se nachází v produktu:
- *:libxml2; <2.12.10; >=2.13, <2.13.6;
CVSS: CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N
Více informací:
- CVE-2024-56171 na cve.org, NVD
- CWE-416: Use After Free na cwe.mitre.org
Zranitelnost byla veřejně oznámena 18. 2. 2025.
Neautentizovanému lokálnímu útočníkovi je umožněno neoprávněně přistupovat za hranici paměti v zásobníku. Zranitelnost je zneužitelná pouze v případě, že bude u vloženého dokumentu využita DTD validace [2].
Zranitelnost se nachází v produktu:
- *:libxml2; <2.12.10; >=2.13, <2.13.6;
CVSS: CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N
Více informací:
- CVE-2025-24928 na cve.org, NVD
- CWE-121: Stack-based Buffer Overflow na cwe.mitre.org
Zranitelnost byla veřejně oznámena 18. 2. 2025.
Neautentizovanému lokálnímu útočníkovi je umožněno způsobit DoS útok nesprávným přistupováním do paměti [3]
Zranitelnost se nachází v produktu:
- *:libxml2; <2.12.10; >=2.13, <2.13.6;
CVSS: CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L
Více informací:
- CVE-2025-27113 na cve.org, NVD
- CWE-476: NULL Pointer Dereference na cwe.mitre.org
Zranitelnost byla veřejně oznámena 18. 2. 2025.
Odkazy
Za CESNET, z.s.p.o. Martin Krajči dne 20. 2. 2025.