libexpat: NULL-Pointer-Dereferenzierung im External-Entity-Subparser

Zusammenfassung

libexpat bis einschliesslich Version 2.9.0 enthält eine NULL-Pointer-Dereferenzierung in externalEntityInitProcessor2(), die einen leeren, nicht finalen ersten Parse-Vorgang auf einem External-Entity-Subparser fehlerhaft behandelt. Ein Angreifer, der die Aufteilung der XML-Eingabe in Chunks steuern kann, kann einen späteren Parse-Vorgang zum Absturz der Anwendung bringen. Die Auswirkung ist eine Denial-of-Service-Situation; eine Beeinträchtigung der Vertraulichkeit oder Integrität ist nicht beschrieben.

Betroffen

• libexpat 0 bis 2.9.0 (einschliesslich)
• Anwendungen, die libexpat einbetten und angreiferkontrolliertes XML mit External-Entity-Verarbeitung parsen
• Debian 13 libexpat1 2.9.0-1~deb13u1 (sekundäre Meldung, nicht verifiziert)

Behoben in

Unbekannt. Die korrigierte Version wurde nicht bestätigt; Commit 7b0d50e4b1d16fafd55876260701e04279a7489d, PR #1444 und die Release-Notes des Projekts prüfen.

Umgehung

• Kein vom Hersteller angegebener Workaround gefunden.
• External-Entity-Auflösung in Anwendungen deaktivieren, sofern die XML-Einstellungen dies erlauben.
• Nicht vertrauenswürdiges XML ablehnen oder in der Grösse begrenzen, bevor es den Parser erreicht.

Ausnutzung

• Gemäss Strix nicht in KEV gelistet; keine Hinweise auf Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof of Concept gefunden. VulDB bewertet die Ausnutzung als einfach, was kein Beleg für eine tatsächliche Ausnutzung ist.

Unsere Empfehlung

• Anwendungen identifizieren, die libexpat einbetten und nicht vertrauenswürdiges XML verarbeiten, etwa Webservices, SOAP/XML-APIs und Dokumentenimporte.
• Den Sicherheitstracker der eigenen Distribution auf einen Patch prüfen und diesen sobald verfügbar einspielen.
• External-Entity-Verarbeitung deaktivieren oder XML-Eingaben wo möglich einschränken.
• Sicherstellen, dass abgestürzte Dienste automatisch neu starten, und wiederholte Abstürze überwachen.
• CVSS-Werte unterscheiden sich: VulnCheck nennt 8.2, Strix und OpenCVE 5.9. Die NVD-Analyse war noch ausstehend.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• libexpat fix commit github.com
• libexpat pull request 1444 github.com
• Ubuntu security CVE-2026-117610 ubuntu.com
• libexpat news libexpat.github.io
• VulDB CVE entry vuldb.com
• Strix CVE entry www.strix.ai
• Debian expat tracker tracker.debian.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:48.