libxml2: use-after-free ao analisar XPath no Schematron (CVE-2025-49794)
Foi encontrada uma vulnerabilidade de use-after-free (CVSS 9.1) no libxml2. Ela ocorre ao analisar elementos XPath enquanto o XML Schematron contém elementos de esquema. Um documento XML malicioso pode travar o programa ou causar outro comportamento indefinido.
Verificado no Shield: sim
Quem é afetado
Aplicativos que usam o libxml2 e analisam XML não confiável com Schematron. A fonte não informa quais versões são vulneráveis.
Como verificar
Verifique se o libxml2 está instalado e qual é a versão (por exemplo, dpkg -l libxml2 em sistemas baseados em Debian), inclusive dentro de imagens de contêiner. Descubra se seus aplicativos analisam XML não confiável com Schematron.
Como corrigir
O status da correção não é informado na fonte. Fique de olho nas atualizações do pacote libxml2 da sua distribuição e, quando uma correção for lançada, atualize o pacote e reconstrua as imagens.
O que o Shield verifica grátis
A versão da libxml2 não aparece de fora, por isso não há verificação direta. Se o seu servidor mostra a versão do PHP nos cabeçalhos X-Powered-By ou Server, o Shield aponta isso no relatório: no seu servidor você pode ver com qual libxml2 essa compilação do PHP funciona (php -i | grep -i libxml). Grátis.
Bom saber
Ainda não divulgados: versões afetadas e corrigidas, status de exploração. Fonte: NVD, CVE-2025-49794.
