「libxml2」にXXE脆弱性 - 利用アプリに影響

「XML」のパーサー機能などを提供するライブラリ「libxml2」に脆弱性が明らかとなった。同ライブラリを用いるアプリケーションにおいて影響を受けるおそれがある。

XML外部実体参照（XXE）の脆弱性「CVE-2024-40896」が明らかとなったもの。細工したXML文書などを処理することで、認証なしにリモートから悪用できるとしている。

「SAXパーサー」の動作に起因し、「カスタムSAXハンドラ」がエンティティの内容を上書きしようとした際、外部エンティティ関連のイベントを生成できるとしている。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.1」と評価。重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

同脆弱性に関しては、現地時間7月24日にリリースされた「libxml2 2.13.3」「同2.12.9」「同2.11.9」にて修正されており、アップデートが呼びかけられている。

（Security NEXT - 2024/12/27 ）ツイート