PT-2021-7492 · Tinyxml+5 · Tinyxml+5

Wang Zhong · Publicado 2021-09-14 · Atualizado 2025-11-04 · CVE-2021-42260

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

TinyXML versões 2.6.2 e anteriores

Descrição

O problema está relacionado a um loop infinito na função TiXmlParsingData::Stamp dentro do componente tinyxmlparser.cpp do analisador XML TinyXML. Isso pode ser desencadeado por uma mensagem XML maliciosa, levando a uma negação de serviço. A vulnerabilidade pode ser explorada por um invasor remoto.

Recomendações

Para as versões 2.6.2 e anteriores do TinyXML, considere desativar a função TiXmlParsingData::Stamp até que um patch esteja disponível para evitar possíveis ataques de negação de serviço.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

DoS

Infinite Loop

Enumeração de Fraquezas

CWE-835

Identificadores relacionados

ALT-PU-2025-3909

ALT-PU-2025-4081

BDU:2022-06895

CVE-2021-42260

DLA-2988-1

DLA-3130-1

MGASA-2021-0514

OESA-2022-1521

OPENSUSE-SU-2021:1474-1

OPENSUSE-SU-2021:3639-1

OPENSUSE-SU-2021_1474-1

OPENSUSE-SU-2021_3639-1

OPENSUSE-SU-2024:13524-1

ROSA-SA-2024-2546

USN-6542-1

Produtos afetados

Alt Linux

Astra Linux

Linuxmint

Suse

Tinyxml

Ubuntu

Referências · 43

• 🔥 https://sourceforge.net/p/tinyxml/bugs/141 · Exploit
• https://t.me/cveNotify/141683 · Publicação no Telegram
• https://altsp.su/obnovleniya-bezopasnosti · Nota
• https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81 · Aviso do Fabricante
• https://xn--80ahaefyxhn.xn--j1afgaq.xn--p1ai/bin/view/%D0%9E%D0%A1%D0%BD%D0%BE%D0%B2%D0%B0/%D0%9E%D0%B1%D0%BD%D0%BE%D0%B2%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F/2.6 · Nota
• https://abf.rosa.ru/advisories/ROSA-SA-2024-2546 · Nota
• https://openeuler.org/en/security/safety-bulletin/detail.html?id=openEuler-SA-2022-1521 · Nota
• https://security-tracker.debian.org/tracker/CVE-2021-42260 · Aviso do Fabricante
• https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/HOMBSHRIW5Q34SQSXYURYAOYDZD2NQF6 · Aviso do Fabricante
• https://lists.debian.org/debian-lts-announce/2022/04/msg00019.html · Nota
• https://osv.dev/vulnerability/DLA-2988-1 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/4QCR5PIOBGDIDS6SYRESTMDJSEDFSCOE · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-42260 · Nota de Segurança
• https://t.me/cvenotify/66547 · Publicação no Telegram