CVE-2024-40896

Parser SAX w libxml2 generuje zdarzenia dla zewnętrznych encji XML nawet wtedy, gdy niestandardowe handlery SAX próbują nadpisać zawartość encji poprzez ustawienie flagi 'checked'. Mechanizm ten powinien blokować przetwarzanie zewnętrznych encji, jednak błąd w implementacji sprawia, że flaga jest ignorowana. W rezultacie atakujący może dostarczyć spreparowany dokument XML zawierający odwołania do zewnętrznych encji, które zostaną przetworzone przez parser mimo zabezpieczeń aplikacji.

Atakujący może zmanipulować przetwarzanie dokumentów XML w sposób naruszający integralność danych lub powodujący niedostępność aplikacji (denial of service). Możliwe jest przeprowadzenie klasycznych ataków XXE, w tym odczyt plików systemowych czy wymuszenie żądań po stronie serwera (SSRF), w zależności od kontekstu aplikacji.

Należy zaktualizować libxml2 do wersji 2.11.9, 2.12.9 lub 2.13.3 (odpowiednio do używanej gałęzi). Użytkownicy produktów NetApp powinni śledzić zalecenia producenta dostępne pod adresem https://security.netapp.com/advisory/ntap-20250228-0004/. Dodatkowo zaleca się weryfikację, czy aplikacje korzystające z libxml2 nie polegają wyłącznie na niestandardowych handlerach SAX jako jedynym mechanizmie ochrony przed XXE.

libxml2 w wersjach: 2.11.x przed 2.11.9, 2.12.x przed 2.12.9 oraz 2.13.x przed 2.13.3. Dotyczy również produktów NetApp HCI Compute Node oraz NetApp SolidFire & HCI Management Node opartych na podatnych wersjach biblioteki.

Szczegóły techniczne błędu oraz commit naprawczy dostępne są w repozytorium projektu libxml2 na GitLab: commit 1a8932303969907f6572b1b6aac4081c56adb5c6, issue #761.