libxml2: use-after-free при разборе XPath в Schematron (CVE-2025-49794)
В libxml2 найдена уязвимость use-after-free (CVSS 9.1). Она возникает при разборе XPath-элементов, когда в XML Schematron есть элементы schema. Специально созданный XML-документ может вызвать аварийное завершение программы или иное неопределённое поведение.
Проверяется в Shield: нет
Кого касается
Затронуты приложения, которые используют libxml2 и разбирают недоверенный XML со Schematron. Конкретные уязвимые версии в источнике не указаны.
Как проверить у себя
Проверьте, установлен ли libxml2 и какой версии (например, dpkg -l libxml2 в Debian-подобных системах), в том числе в контейнерных образах. Выясните, разбирают ли ваши приложения недоверенный XML со Schematron.
Как исправить
Статус исправления в источнике не указан. Следите за обновлениями пакета libxml2 у вашего дистрибутива, после выхода патча обновите пакет и пересоберите образы.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Не раскрыто: затронутые и исправленные версии, факты эксплуатации. Источник: NVD, CVE-2025-49794.
