30秒で判断
- 対応すべき人：libxml2を利用するアプリケーション・サービスの運用者
- 対応不要な人：libxml2を利用していない、または既に修正済みパッケージへ更新している方
- 確認コマンド：
dpkg -l | grep libxml2（Debian系）やrpm -q libxml2（RPM系）でバージョンを確認する
概要
広く利用されるXMLパーサーライブラリ libxml2 において、XMLスケマトロンの特定の要素を含む文書を処理する際に、XPath要素が解放済みメモリを参照してしまうUse-After-Freeの脆弱性です。悪意のあるXML文書を処理させることで、libxml2を利用するプログラムのクラッシュや、その他の未定義動作を引き起こす可能性があります。
攻撃条件
| 項目 | 内容 |
|---|---|
| 攻撃元区分 | 入力経路はアプリケーション依存（細工されたXML文書の処理が引き金） |
| 必要な権限 | 不要 |
| ユーザー操作 | 不要（アプリケーションが該当XMLを処理すること自体がトリガー） |
| CVSSスコア | 9.1（Critical） |
影響を受けるソフトウェア
| 製品 | ベンダー | バージョン |
|---|---|---|
| libxml2 | GNOME / libxml2 Project | 本脆弱性を含むバージョン（詳細はベンダーの修正情報を参照） |
修正バージョンと回避策
- 対応: Red Hatをはじめ各ディストリビューションから提供されている修正済みパッケージへアップデートする
- 回避策: 信頼できないソースから受け取ったXML文書の処理を制限する
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。