PT-2024-25855 · Libxmljs2 · Libxmljs2

Uriya Yavnieli · CVE-2024-34394 · Publicado 2024-05-02 · Atualizado 2024-11-25

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.2

Crítica

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

libxmljs2 (versões afetadas não especificadas)

Descrição

O problema está relacionado a uma vulnerabilidade de confusão de tipos que ocorre ao analisar um XML especialmente criado. Isso ocorre quando a função namespaces() é invocada em um neto de um nó que se refere a uma entidade, o que, por sua vez, invoca XmlNode::get local namespaces(). A vulnerabilidade pode levar à negação de serviço e à execução remota de código.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Type Confusion

Enumeração de Fraquezas

CWE-843

Identificadores relacionados

CVE-2024-34394

GHSA-78H3-PG4X-J8CV

Produtos afetados

Libxmljs2

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/34xxx/CVE-2024-34394.json · Exploit
• https://github.com/marudor/libxmljs2/issues/205 · Nota
• https://github.com/marudor/libxmljs2 · Nota
• https://twitter.com/CVEnew/status/1786114316472836232 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-34394 · Nota de Segurança
• https://research.jfrog.com/vulnerabilities/libxmljs2-namespaces-type-confusion-rce-jfsa-2024-001034098 · Nota
• https://t.me/cvenotify/78916 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-34394 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-78h3-pg4x-j8cv · Aviso do Fabricante
• https://npmjs.com · Nota