关于libxml2 XML外部实体注入漏洞(CVE-2024-40896)的预警提示
发布时间:2024-12-30浏览次数:10
一、漏洞详情 libxml2是一个开源、高性能且应用广泛的XML解析库。 近日,监测到libxml2中存在一个XML外部实体注入漏洞(CVE-2024-40896)。由于libxml2受影响版本中的SAX解析器在处理外部实体时,即使开发者在自定义的SAX处理器中尝试通过某种方式(例如设置“checked”)来控制或覆盖外部实体的加载,解析器仍会触发与外部实体相关的事件。攻击者可通过向目标XML解析器提供包含外部实体引用的恶意XML输入来利用该漏洞,成功利用可能导致信息泄露(如访问文件系统的敏感文件)、拒绝服务或执行其他未授权操作。 建议受影响用户做好资产自查以及预防工作,以免遭受黑客攻 二、影响范围 2.11 <= libxml2 < 2.11.9 2.12 <= libxml2 < 2.12.9 2.13 <= libxml2 < 2.13.3 三、修复建议 目前该漏洞已经修复,受影响用户可升级到以下版本: libxml2 2.11.x >= 2.11.9 libxml2 2.12.x >= 2.12.9 libxml2 2.13.x >= 2.13.3 |