XML解析ライブラリ「libexpat」に脆弱性 - DoS攻撃などのおそれ

CERT/CCは、広く活用されているXML解析ライブラリ「libexpat」の脆弱性について注意喚起を行った。同ライブラリを利用するアプリケーションに影響がある。

エンティティ参照が深い入れ子構造となっているXMLファイルを読み込むと、スタックオーバーフローが生じる脆弱性「CVE-2024-8176」が明らかとなった。

再帰処理が制限なく繰り返され、メモリが枯渇し、アプリケーションがクラッシュしてサービス拒否が生じたり、メモリ破壊を引き起こすおそれがある。

CVE番号を採番したRed Hatでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「7.5」、重要度を「高（High）」とレーティングしている。

開発チームでは、現地時間2025年3月14日に脆弱性を修正した「バージョン2.7.0」をリリースしている。同脆弱性に関しては、概念実証（PoC）を行うためのデータを生成するプログラムも公開されている。

（Security NEXT - 2025/05/12 ）ツイート