libexpat: Heap-Buffer-Over-Read in XML_ParseBuffer
Zusammenfassung
libexpat, ein in vielen Anwendungen und Distributionen eingebetteter Streaming-XML-Parser, enthält einen Heap-Buffer-Over-Read in XML_ParseBuffer. Die Funktion erhöht das Pufferende um eine vom Aufrufer übergebene Länge, ohne diese gegen die reservierte Puffergrösse zu prüfen, sodass wiederholte Aufrufe über die Heap-Allokation hinaus lesen können. Ein entfernter Angreifer, der die von einer betroffenen Anwendung verarbeiteten Eingaben beeinflussen kann, könnte angrenzenden Heap-Speicher auslesen, etwa Zeiger, die ASLR umgehen helfen. Die Upstream-Maintainer betrachten die Länge als Verantwortung des Aufrufers, daher hängt das reale Risiko davon ab, wie jede Anwendung die API aufruft.
Betroffen
- libexpat bis und mit 2.8.5 (gemäss VulnCheck)
- Einzelne Quellen nennen 'vor 2.9.0'; alle Versionen vor 2.9.0 gelten bis zur Bestätigung durch Ihre Distribution als potenziell betroffen
Behoben in
- Upstream-Korrektur: Commit 13c5f63 (PR #1393)
- Upstream-Release: Expat 2.9.0 (veröffentlicht am 05.10.2026; CVE-2026-77214 im Changelog prüfen)
- Verwenden Sie die korrigierte Paketversion Ihrer Linux-Distribution, nicht nur die Upstream-Versionsnummer
Umgehung
Unbekannt.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial
- Zum Zeitpunkt der Recherche sind keine Ausnutzung in freier Wildbahn und kein öffentlicher Exploit bekannt
- EPSS etwa 0.003 (niedrig)
Unsere Empfehlung
- Ermitteln Sie Systeme und Container-Images, die libexpat enthalten oder einbinden, auch über Python, PHP, Perl oder andere Laufzeitumgebungen
- Aktualisieren Sie libexpat auf die korrigierte Version Ihrer Distribution und starten Sie abhängige Dienste neu oder bauen Sie Images neu
- Scannen Sie Images nach dem Update erneut, da Scanner mit älterem Datenstand noch 'kein Fix verfügbar' melden können
- Priorisieren Sie öffentlich erreichbare Dienste, die nicht vertrauenswürdiges XML verarbeiten
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Upstream fix commit 13c5f63 github.com
- Upstream pull request #1393 github.com
- VulnCheck advisory www.vulncheck.com
- Debian security tracker CVE-2026-77214 security-tracker.debian.org
- Expat project news libexpat.github.io
- Red Hat advisory RHSA-2026:89758 (via Vulners) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:00.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.