libexpat: Denial of Service über XML_ParserReset

Zusammenfassung

libexpat-Versionen 2.7.2 bis 2.9.0 enthalten eine Denial-of-Service-Schwachstelle (CWE-909) in XML_ParserReset. Das Zurücksetzen löscht zwar den direkten Byte-Zähler, nicht aber die verfolgten Heap-Allokationen. Nach einem grossen XML-Dokument schlagen nachfolgende Dokumente auf demselben zurückgesetzten Parser mit XML_ERROR_NO_MEMORY fehl, bis der Parser neu erstellt wird. Gefährdet sind Anwendungen, die unvertrauenswürdiges XML über das Netzwerk verarbeiten und langlebige, wiederverwendete Parser-Objekte nutzen; eine Authentifizierung ist nicht nötig. Codeausführung oder Datenzugriff werden nicht beschrieben.

Betroffen

• libexpat 2.7.2 bis 2.9.0 (Bereich upstream gemäss NVD und VulnCheck)
• Der Debian-Tracker listet zusätzlich bookworm 2.5.0-1+deb12u5 und trixie 2.8.3 als verwundbar; der Grund ist nicht angegeben, daher bei Debian prüfen

Behoben in

• Upstream-Korrektur in PR #1431; Drittquellen melden, dass sie zusammengeführt wurde
• Expat 2.9.1 ist geplant (voraussichtlich 2026-10-26), die Veröffentlichung konnte jedoch nicht verifiziert werden
• Debian markiert trixie und bookworm als nicht behoben
• Unbekannt: Es wurde kein Herstellerhinweis mit fixen Versionsnummern gefunden

Umgehung

• Kein offizieller Workaround.
• Parser-Objekte nach grossen Dokumenten nicht weiterverwenden oder den Parser neu erstellen statt zurückzusetzen.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn; kein Eintrag im CISA KEV gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
• Der PR des Maintainers beschreibt eine Reproduktion mit Standardeinstellungen. EPSS beträgt 0.00474.

Unsere Empfehlung

• Software ermitteln, die libexpat 2.7.2 bis 2.9.0 einbindet, und prüfen, ob sie Parser-Objekte über Anfragen hinweg wiederverwendet.
• Bei Softwareherstellern den Patch-Status erfragen und Updates einspielen, sobald sie verfügbar sind.
• Die Release-Seite von libexpat und den Sicherheits-Tracker von Debian beobachten.
• Priorität: mittel.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Debian Security Tracker: CVE-2026-113351 security-tracker.debian.org
• VulnCheck advisory: libexpat 2.7.2 through 2.9.0 DoS via XML_ParserReset www.vulncheck.com
• libexpat PR #1431: Fix parser reset github.com
• libexpat releases github.com
• Tenable: CVE-2026-113351 www.tenable.com
• VulDB: CVE-2026-113351 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:34.