Podatności libxml2

W bibliotece libxml2 przed wersją 2.15.4, xmlregexp w xmlRegNewParserCtxt ma dereferencję wskaźnika NULL po niepowodzeniu strdup, tj. nie oblicza długości ciągu po sprawdzeniu NULL.

W libxml2 przed wersją 2.15.4 funkcja xmlSnprintfElements w pliku valid.c zawiera przepełnienie bufora na stosie związane z użyciem funkcji strcat.

W bibliotece libxml2 przed wersją 2.15.4 funkcja xmlURIEscapeStr w pliku uri.c zawiera przepełnienie liczb całkowitych.

W bibliotece libxml2 przed wersją 2.15.4 funkcja xmlDictAddQString w pliku dict.c zawiera przepełnienie liczb całkowitych, które prowadzi do przepełnienia bufora na stercie.

W bibliotece libxml2 przed wersją 2.15.4 występuje podatność polegająca na odczycie poza zakresem pamięci w funkcji xmlFAParsePosCharGroup, związana z makrem NXT w xmlregexp.

W narzędziu xmlcatalog biblioteki libxml2 wykryto wiele przepełnień bufora na stosie w trybie --shell. Funkcja usershell() przetwarza dane wejściowe użytkownika przy użyciu buforów o stałym rozmiarze bez odpowiedniego sprawdzania granic. Dostarczenie zbyt długiego wiersza wejściowego może przepełnić bufory wewnętrzne (command, arg i argv) podczas parsowania danych.

W bibliotece libxml2 wykryto usterkę związaną z błędem typu (type confusion) podczas przetwarzania specjalnie spreparowanego dokumentu XML z definicją schematu (XSD) zawierającego wewnętrzne odwołanie do encji. Atakujący może wykorzystać tę podatność, dostarczając złośliwy dokument, co prowadzi do awarii aplikacji.

W interaktywnej powłoce narzędzia xmllint, będącego częścią projektu libxml2, wykryto podatność, w której pamięć przydzielona dla danych wejściowych użytkownika nie jest prawidłowo zwalniana w określonych warunkach. Gdy użytkownik wprowadzi dane składające się wyłącznie z białych znaków, program pomija wykonanie polecenia, ale nie zwalnia przydzielonego bufora. Powtarzanie tej czynności powoduje ciągłe gromadzenie się pamięci. Z czasem może to wyczerpać pamięć systemową i zakończyć proces xmllint, tworząc warunki odmowy usługi w systemie lokalnym.

W bibliotece libxml2 wykryto podatność polegającą na niekontrolowanym zużyciu zasobów podczas przetwarzania katalogów XML zawierających powtarzające się elementy <nextCatalog> wskazujące na ten sam katalog. Zdalny atakujący może wykorzystać to przez dostarczenie spreparowanych katalogów, powodując nadmiarowe przetwarzanie łańcuchów katalogów.

W bibliotece libxml2 wykryto podatność na niekontrolowaną rekurencję w funkcji xmlCatalogXMLResolveURI. Problem występuje, gdy katalog XML zawiera wpis delegowanego URI odnoszący się do samego siebie, co prowadzi do nieskończonej rekurencji i wyczerpania stosu wywołań.

W parserze RelaxNG biblioteki libxml2 wykryto błąd w obsłudze zewnętrznych dołączeń schematów. Parser nie ogranicza głębokości zagnieżdżenia dyrektyw <include>, co może prowadzić do nadmiernej rekurencji podczas przetwarzania. Specjalnie spreparowane schematy mogą spowodować wyczerpanie stosu i awarię aplikacji.

W libxml2 do wersji 2.9.14 włącznie funkcje oceny XPath (xmlXPathRunEval, xmlXPathCtxtCompile, xmlXPathEvalExpr) resetowały głębokość rekurencji do zera przed wywołaniami rekurencyjnymi, co pozwalało lokalnemu atakującemu na wywołanie niekontrolowanej rekurencji i przepełnienie stosu za pomocą spreparowanych wyrażeń.

W bibliotece libxml2 do wersji 2.14.5 wykryto podatność polegającą na niekontrolowanej rekurencji w funkcji xmlParseSGMLCatalog komponentu xmlcatalog. Atak wymaga dostępu lokalnego i może być przeprowadzony przy użyciu zaufanych katalogów SGML.

Błąd w interaktywnej powłoce narzędzia xmllint do parsowania XML powoduje, że zbyt długie polecenie nie jest poprawnie sprawdzane pod kątem rozmiaru, co może prowadzić do awarii. W rzadkich konfiguracjach bez nowoczesnych zabezpieczeń możliwe jest wykonanie szkodliwego kodu.

W bibliotece libxml2 wykryto podatność polegającą na dereferencji wskaźnika NULL podczas przetwarzania wyrażeń XPath. Luka ta umożliwia atakującemu stworzenie złośliwego wejścia XML, co prowadzi do odmowy usługi.

W bibliotece libxml2 w funkcji xmlBuildQName wykryto błąd polegający na przepełnieniu liczb całkowitych podczas obliczania rozmiaru bufora, co może prowadzić do przepełnienia bufora na stosie. Problem może skutkować uszkodzeniem pamięci lub odmową usługi podczas przetwarzania spreparowanych danych wejściowych.

W narzędziu xmllint z biblioteki libxml2 przed wersjami 2.11.8 i 2.12.7 wykryto błąd. Formatowanie komunikatów błędów z opcją --htmlout może prowadzić do odczytu poza zakresem bufora w funkcji xmlHTMLPrintFileContext.

W bibliotece libxml2 przed wersją 2.11.7 oraz w gałęzi 2.12.x przed 2.12.5 wykryto błąd use-after-free w funkcji xmlValidatePopElement. Występuje on podczas przetwarzania spreparowanych dokumentów XML przy włączonej walidacji DTD i rozwijaniu XInclude w interfejsie XML Reader.

libxml2 do wersji 2.11.5 zawiera podatność use-after-free, która może wystąpić tylko po niepowodzeniu pewnej alokacji pamięci. Występuje w funkcji xmlUnlinkNode w pliku tree.c. Producent uważa, że te problemy nie są wystarczająco krytyczne, aby uzyskać identyfikator CVE, ponieważ atakujący zazwyczaj nie może kontrolować momentu niepowodzenia alokacji pamięci.

W libxml2 przed wersją 2.10.4 odkryto problem polegający na tym, że podczas hashowania pustych łańcuchów dict w spreparowanym dokumencie XML funkcja xmlDictComputeFastKey w dict.c może generować niedeterministyczne wartości, prowadząc do różnych błędów logicznych i pamięciowych, takich jak podwójne zwolnienie. Dzieje się tak, ponieważ podejmowana jest próba użycia pierwszego bajtu pustego łańcucha, a każda wartość jest możliwa (nie tylko '\0').

W bibliotece libxml2 przed wersją 2.10.4 parsowanie niektórych nieprawidłowych schematów XSD może prowadzić do dereferencji wskaźnika NULL, a w konsekwencji do naruszenia ochrony pamięci (segfault). Problem występuje w funkcji xmlSchemaFixupComplexType w pliku xmlschemas.c.

W libxml2 przed wersją 2.9.14 funkcje obsługi buforów w buf.c (xmlBuf*) i tree.c (xmlBuffer*) nie sprawdzają przepełnień liczb całkowitych, co może prowadzić do zapisów poza pamięcią. Wykorzystanie wymaga otwarcia spreparowanego, wielogigabajtowego pliku XML. Dotyczy to również innych programów używających funkcji buforowych libxml2, np. libxslt do wersji 1.1.35.

W libxml2 znaleziono błąd polegający na możliwości przeprowadzenia ataku polegającego na ekspansji encji (exponential entity expansion), który może obejść wszystkie istniejące mechanizmy ochrony i prowadzić do odmowy usługi.

W libxml2 w wersji przed 2.9.11 występuje błąd w narzędziu xmllint. Atakujący, który może dostarczyć spreparowany plik do przetworzenia przez xmllint, może wywołać użycie po zwolnieniu pamięci (use-after-free). Największy wpływ tej podatności dotyczy poufności, integralności i dostępności.

W bibliotece libxml2 przed wersją 2.9.11 stwierdzono, że nie propaguje błędów podczas analizowania mieszanej zawartości XML, co powoduje odwołanie do wskaźnika NULL. Jeśli niezaufany dokument XML był analizowany w trybie odzyskiwania i poddany walidacji po analizie, błąd mógł zostać wykorzystany do awarii aplikacji. Największe zagrożenie z tej podatności dotyczy dostępności systemu.

Biblioteka libxml2 w wersji 2.9.10 projektu GNOME ma globalną podatność na odczyt poza zakresem bufora (buffer over-read) w funkcji xmlEncodeEntitiesInternal w pliku libxml2/entities.c. Problem został naprawiony w commicie 50f06b3e.

Funkcja xmlSchemaPreRun w pliku xmlschemas.c w libxml2 2.9.10 pozwala na wyciek pamięci w xmlSchemaValidateStream.

W bibliotece libxml2 do wersji 2.9.8 występuje podatność na odwołanie do wskaźnika NULL w funkcji xmlXPathCompOpEval() w pliku xpath.c podczas analizowania nieprawidłowego wyrażenia XPath w przypadkach XPATH_OP_AND lub XPATH_OP_OR. Aplikacje przetwarzające niezaufane dane wejściowe w formacie XSL przy użyciu libxml2 mogą być podatne na atak typu denial of service z powodu awarii aplikacji.

Funkcja xz_head w pliku xzlib.c w libxml2 przed wersją 2.9.6 pozwala zdalnym atakującym na wywołanie odmowy usługi (zużycie pamięci) poprzez spreparowany plik LZMA, ponieważ funkcja dekodera nie ogranicza użycia pamięci do wymaganego dla legalnego pliku.

W libxml2 występuje podatność na zdalne wykonanie kodu, która może pozwolić atakującemu na wykonanie dowolnego kodu w kontekście procesu bez uprawnień. Problem ten dotyczy aplikacji korzystających z tej biblioteki w systemie Android.

W bibliotece libxml2 odkryto przepełnienie bufora w funkcji xmlSnprintfElementContent, które może prowadzić do zapisu danych poza przydzieloną pamięcią. Problem występuje, gdy sprawdzanie długości bufora nie uwzględnia aktualnej długości po dodaniu prefiksu.

libxml2 w wersji 2.9.4 i wcześniejszych, używany w XMLSec 1.2.23 i wcześniejszych oraz w innych produktach, nie oferuje flagi bezpośrednio wskazującej, że bieżący dokument może być odczytywany, ale inne pliki nie mogą być otwierane, co ułatwia zdalnym atakującym przeprowadzanie ataków XML External Entity (XXE) za pomocą spreparowanego dokumentu.