[TLP:CLEAR] libxml2 opravuje 3 zraniteľnosti
libxml2 verziami 2.12.10 a 2.13.6 opravuje 3 zraniteľnosti [1][2][3], ktoré zatiaľ opravil iba Slackware [4].
Neautentizovanému lokálnemu útočníkovi je umožnené vložením špeciálne vytvoreného XML súboru neoprávnene pristupovať do pamäte [1].
Zraniteľnosť sa nachádza v produkte:
- *:libxml2; <2.12.10; >=2.13, <2.13.6;
CVSS: CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N
Viac informácií:
- CVE-2024-56171 na cve.org, NVD
- CWE-416: Use After Free na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 18. 2. 2025.
Neautentizovanému lokálnemu útočníkovi je umožnené neoprávnene pristupovať za hranicu pamäte v zásobníku. Zraniteľnosť je zneužiteľná iba v prípade, že bude u vloženého dokumentu využitá DTD validácia [2].
Zraniteľnosť sa nachádza v produkte:
- *:libxml2; <2.12.10; >=2.13, <2.13.6;
CVSS: CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N
Viac informácií:
- CVE-2025-24928 na cve.org, NVD
- CWE-121: Stack-based Buffer Overflow na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 18. 2. 2025.
Neautentizovanému lokálnemu útočníkovi je umožnené spôsobiť DoS útok nesprávnym pristupovaním do pamäte [3]
Zraniteľnosť sa nachádza v produkte:
- *:libxml2; <2.12.10; >=2.13, <2.13.6;
CVSS: CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L
Viac informácií:
- CVE-2025-27113 na cve.org, NVD
- CWE-476: NULL Pointer Dereference na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 18. 2. 2025.
Odkazy
Za CESNET, z.s.p.o. Martin Krajči dňa 20. 2. 2025.