เรื่องเล่าจากโลกโอเพ่นซอร์ส: ช่องโหว่ libxslt ที่ทำให้ GNOME ต้องตั้งรับเอง
Google Project Zero ซึ่งเป็นทีมค้นหาช่องโหว่ด้านความปลอดภัยระดับโลก ได้เปิดเผยช่องโหว่ใน libxslt ซึ่งเป็นไลบรารีสำคัญของ GNOME ที่ใช้ในการแปลงเอกสาร XML ด้วยภาษา XSLT ไลบรารีนี้ถูกใช้งานอย่างแพร่หลายในแอปพลิเคชันต่าง ๆ เช่น GNOME Help, Gnumeric, Doxygen รวมถึงในเว็บที่ใช้ PHP และ Python
ช่องโหว่นี้เป็นแบบ “use-after-free” (UAF) ซึ่งเกิดจากการจัดการหน่วยความจำของ Result Value Tree (RVT) ที่ไม่ถูกต้อง ทำให้เกิดการเข้าถึงหน่วยความจำที่ถูกปล่อยไปแล้ว ส่งผลให้แอปพลิเคชัน crash หรืออาจถูกใช้เป็นช่องทางรันโค้ดอันตรายได้
Google ได้แจ้ง GNOME ตั้งแต่วันที่ 6 พฤษภาคม 2025 และให้เวลา 90 วันในการแก้ไข แต่เมื่อครบกำหนดแล้ว GNOME ยังไม่สามารถออกแพตช์ได้ เพราะการแก้ไขทำให้ส่วนอื่นของระบบเสียหาย และที่สำคัญคือ libxslt ไม่มีผู้ดูแลหลักมานานแล้ว ทำให้การแก้ไขต้องพึ่งชุมชนโอเพ่นซอร์สที่ยังคงพยายามกันอยู่
ช่องโหว่นี้ถูกจัดระดับความรุนแรงเป็น P2/S2 ซึ่งหมายถึงระดับกลางแต่มีผลกระทบสูง และตอนนี้มีโค้ดตัวอย่าง (PoC) ถูกเผยแพร่แล้ว ทำให้ผู้ไม่หวังดีสามารถนำไปใช้โจมตีได้ทันที
Google Project Zero พบช่องโหว่ใน libxslt ไลบรารีของ GNOME
ใช้ในการแปลง XML ด้วย XSLT และถูกใช้งานในหลายแอปพลิเคชัน
ช่องโหว่เป็นแบบ use-after-free จากการจัดการ RVT ที่ผิดพลาด
ทำให้เกิด crash หรือเปิดช่องให้รันโค้ดอันตราย
แจ้ง GNOME ตั้งแต่ 6 พฤษภาคม 2025 พร้อมเวลา 90 วันในการแก้ไข
แต่ยังไม่มีแพตช์เพราะการแก้ไขทำให้ระบบอื่นเสียหาย
GNOME เปิดเผยช่องโหว่ต่อสาธารณะหลังครบกำหนด
มีโค้ดตัวอย่าง (PoC) ถูกเผยแพร่แล้ว
libxslt ไม่มีผู้ดูแลหลักมานาน
ชุมชนต้องช่วยกันแก้ไข downstream กันเอง
libxslt พัฒนาบนพื้นฐานของ libxml2
รองรับฟังก์ชัน EXSLT และบางส่วนของ Saxon
ช่องโหว่ CVE-2025-7425 เกิดจากการจัดการ atype flags ที่ผิดพลาด
ทำให้เกิด heap corruption และอาจนำไปสู่ arbitrary code execution
ระบบที่ได้รับผลกระทบ ได้แก่ Red Hat, Debian, SUSE
มีแพตช์ออกแล้วใน libxslt เวอร์ชัน 1.1.43 ขึ้นไป
แนวทางป้องกันชั่วคราวคือปิดการใช้งาน XSLT หรือใช้ input validation
ลดความเสี่ยงจากการประมวลผล XML ที่ไม่ปลอดภัย
ช่องโหว่เปิดทางให้ผู้โจมตีรันโค้ดอันตรายผ่าน XML หรือ XSLT
อาจถูกใช้ร่วมกับช่องโหว่อื่น เช่น XXE เพื่อโจมตีแบบ chain
ไม่มีผู้ดูแลหลักของ libxslt ทำให้การแก้ไขล่าช้า
ผู้ใช้ต้องพึ่งแพตช์จากระบบปฏิบัติการหรือแก้ไขเอง
โค้ดตัวอย่าง (PoC) ถูกเผยแพร่แล้ว
เพิ่มความเสี่ยงที่ช่องโหว่จะถูกนำไปใช้โจมตีจริง
ระบบที่ยังใช้ libxslt เวอร์ชันเก่าเสี่ยงต่อการถูกโจมตี
ควรอัปเดตทันทีหรือปิดการใช้งาน XSLT หากไม่จำเป็น
https://www.neowin.net/news/google-project-zero-exposes-security-flaw-in-libxslt-library-used-in-gnome-applications/
Google Project Zero ซึ่งเป็นทีมค้นหาช่องโหว่ด้านความปลอดภัยระดับโลก ได้เปิดเผยช่องโหว่ใน libxslt ซึ่งเป็นไลบรารีสำคัญของ GNOME ที่ใช้ในการแปลงเอกสาร XML ด้วยภาษา XSLT ไลบรารีนี้ถูกใช้งานอย่างแพร่หลายในแอปพลิเคชันต่าง ๆ เช่น GNOME Help, Gnumeric, Doxygen รวมถึงในเว็บที่ใช้ PHP และ Python
ช่องโหว่นี้เป็นแบบ “use-after-free” (UAF) ซึ่งเกิดจากการจัดการหน่วยความจำของ Result Value Tree (RVT) ที่ไม่ถูกต้อง ทำให้เกิดการเข้าถึงหน่วยความจำที่ถูกปล่อยไปแล้ว ส่งผลให้แอปพลิเคชัน crash หรืออาจถูกใช้เป็นช่องทางรันโค้ดอันตรายได้
Google ได้แจ้ง GNOME ตั้งแต่วันที่ 6 พฤษภาคม 2025 และให้เวลา 90 วันในการแก้ไข แต่เมื่อครบกำหนดแล้ว GNOME ยังไม่สามารถออกแพตช์ได้ เพราะการแก้ไขทำให้ส่วนอื่นของระบบเสียหาย และที่สำคัญคือ libxslt ไม่มีผู้ดูแลหลักมานานแล้ว ทำให้การแก้ไขต้องพึ่งชุมชนโอเพ่นซอร์สที่ยังคงพยายามกันอยู่
ช่องโหว่นี้ถูกจัดระดับความรุนแรงเป็น P2/S2 ซึ่งหมายถึงระดับกลางแต่มีผลกระทบสูง และตอนนี้มีโค้ดตัวอย่าง (PoC) ถูกเผยแพร่แล้ว ทำให้ผู้ไม่หวังดีสามารถนำไปใช้โจมตีได้ทันที
Google Project Zero พบช่องโหว่ใน libxslt ไลบรารีของ GNOME
ใช้ในการแปลง XML ด้วย XSLT และถูกใช้งานในหลายแอปพลิเคชัน
ช่องโหว่เป็นแบบ use-after-free จากการจัดการ RVT ที่ผิดพลาด
ทำให้เกิด crash หรือเปิดช่องให้รันโค้ดอันตราย
แจ้ง GNOME ตั้งแต่ 6 พฤษภาคม 2025 พร้อมเวลา 90 วันในการแก้ไข
แต่ยังไม่มีแพตช์เพราะการแก้ไขทำให้ระบบอื่นเสียหาย
GNOME เปิดเผยช่องโหว่ต่อสาธารณะหลังครบกำหนด
มีโค้ดตัวอย่าง (PoC) ถูกเผยแพร่แล้ว
libxslt ไม่มีผู้ดูแลหลักมานาน
ชุมชนต้องช่วยกันแก้ไข downstream กันเอง
libxslt พัฒนาบนพื้นฐานของ libxml2
รองรับฟังก์ชัน EXSLT และบางส่วนของ Saxon
ช่องโหว่ CVE-2025-7425 เกิดจากการจัดการ atype flags ที่ผิดพลาด
ทำให้เกิด heap corruption และอาจนำไปสู่ arbitrary code execution
ระบบที่ได้รับผลกระทบ ได้แก่ Red Hat, Debian, SUSE
มีแพตช์ออกแล้วใน libxslt เวอร์ชัน 1.1.43 ขึ้นไป
แนวทางป้องกันชั่วคราวคือปิดการใช้งาน XSLT หรือใช้ input validation
ลดความเสี่ยงจากการประมวลผล XML ที่ไม่ปลอดภัย
ช่องโหว่เปิดทางให้ผู้โจมตีรันโค้ดอันตรายผ่าน XML หรือ XSLT
อาจถูกใช้ร่วมกับช่องโหว่อื่น เช่น XXE เพื่อโจมตีแบบ chain
ไม่มีผู้ดูแลหลักของ libxslt ทำให้การแก้ไขล่าช้า
ผู้ใช้ต้องพึ่งแพตช์จากระบบปฏิบัติการหรือแก้ไขเอง
โค้ดตัวอย่าง (PoC) ถูกเผยแพร่แล้ว
เพิ่มความเสี่ยงที่ช่องโหว่จะถูกนำไปใช้โจมตีจริง
ระบบที่ยังใช้ libxslt เวอร์ชันเก่าเสี่ยงต่อการถูกโจมตี
ควรอัปเดตทันทีหรือปิดการใช้งาน XSLT หากไม่จำเป็น
https://www.neowin.net/news/google-project-zero-exposes-security-flaw-in-libxslt-library-used-in-gnome-applications/
🧨🧬 เรื่องเล่าจากโลกโอเพ่นซอร์ส: ช่องโหว่ libxslt ที่ทำให้ GNOME ต้องตั้งรับเอง
Google Project Zero ซึ่งเป็นทีมค้นหาช่องโหว่ด้านความปลอดภัยระดับโลก ได้เปิดเผยช่องโหว่ใน libxslt ซึ่งเป็นไลบรารีสำคัญของ GNOME ที่ใช้ในการแปลงเอกสาร XML ด้วยภาษา XSLT ไลบรารีนี้ถูกใช้งานอย่างแพร่หลายในแอปพลิเคชันต่าง ๆ เช่น GNOME Help, Gnumeric, Doxygen รวมถึงในเว็บที่ใช้ PHP และ Python
ช่องโหว่นี้เป็นแบบ “use-after-free” (UAF) ซึ่งเกิดจากการจัดการหน่วยความจำของ Result Value Tree (RVT) ที่ไม่ถูกต้อง ทำให้เกิดการเข้าถึงหน่วยความจำที่ถูกปล่อยไปแล้ว ส่งผลให้แอปพลิเคชัน crash หรืออาจถูกใช้เป็นช่องทางรันโค้ดอันตรายได้
Google ได้แจ้ง GNOME ตั้งแต่วันที่ 6 พฤษภาคม 2025 และให้เวลา 90 วันในการแก้ไข แต่เมื่อครบกำหนดแล้ว GNOME ยังไม่สามารถออกแพตช์ได้ เพราะการแก้ไขทำให้ส่วนอื่นของระบบเสียหาย และที่สำคัญคือ libxslt ไม่มีผู้ดูแลหลักมานานแล้ว ทำให้การแก้ไขต้องพึ่งชุมชนโอเพ่นซอร์สที่ยังคงพยายามกันอยู่
ช่องโหว่นี้ถูกจัดระดับความรุนแรงเป็น P2/S2 ซึ่งหมายถึงระดับกลางแต่มีผลกระทบสูง และตอนนี้มีโค้ดตัวอย่าง (PoC) ถูกเผยแพร่แล้ว ทำให้ผู้ไม่หวังดีสามารถนำไปใช้โจมตีได้ทันที
✅ Google Project Zero พบช่องโหว่ใน libxslt ไลบรารีของ GNOME
➡️ ใช้ในการแปลง XML ด้วย XSLT และถูกใช้งานในหลายแอปพลิเคชัน
✅ ช่องโหว่เป็นแบบ use-after-free จากการจัดการ RVT ที่ผิดพลาด
➡️ ทำให้เกิด crash หรือเปิดช่องให้รันโค้ดอันตราย
✅ แจ้ง GNOME ตั้งแต่ 6 พฤษภาคม 2025 พร้อมเวลา 90 วันในการแก้ไข
➡️ แต่ยังไม่มีแพตช์เพราะการแก้ไขทำให้ระบบอื่นเสียหาย
✅ GNOME เปิดเผยช่องโหว่ต่อสาธารณะหลังครบกำหนด
➡️ มีโค้ดตัวอย่าง (PoC) ถูกเผยแพร่แล้ว
✅ libxslt ไม่มีผู้ดูแลหลักมานาน
➡️ ชุมชนต้องช่วยกันแก้ไข downstream กันเอง
✅ libxslt พัฒนาบนพื้นฐานของ libxml2
➡️ รองรับฟังก์ชัน EXSLT และบางส่วนของ Saxon
✅ ช่องโหว่ CVE-2025-7425 เกิดจากการจัดการ atype flags ที่ผิดพลาด
➡️ ทำให้เกิด heap corruption และอาจนำไปสู่ arbitrary code execution
✅ ระบบที่ได้รับผลกระทบ ได้แก่ Red Hat, Debian, SUSE
➡️ มีแพตช์ออกแล้วใน libxslt เวอร์ชัน 1.1.43 ขึ้นไป
✅ แนวทางป้องกันชั่วคราวคือปิดการใช้งาน XSLT หรือใช้ input validation
➡️ ลดความเสี่ยงจากการประมวลผล XML ที่ไม่ปลอดภัย
‼️ ช่องโหว่เปิดทางให้ผู้โจมตีรันโค้ดอันตรายผ่าน XML หรือ XSLT
⛔ อาจถูกใช้ร่วมกับช่องโหว่อื่น เช่น XXE เพื่อโจมตีแบบ chain
‼️ ไม่มีผู้ดูแลหลักของ libxslt ทำให้การแก้ไขล่าช้า
⛔ ผู้ใช้ต้องพึ่งแพตช์จากระบบปฏิบัติการหรือแก้ไขเอง
‼️ โค้ดตัวอย่าง (PoC) ถูกเผยแพร่แล้ว
⛔ เพิ่มความเสี่ยงที่ช่องโหว่จะถูกนำไปใช้โจมตีจริง
‼️ ระบบที่ยังใช้ libxslt เวอร์ชันเก่าเสี่ยงต่อการถูกโจมตี
⛔ ควรอัปเดตทันทีหรือปิดการใช้งาน XSLT หากไม่จำเป็น
https://www.neowin.net/news/google-project-zero-exposes-security-flaw-in-libxslt-library-used-in-gnome-applications/
0 ความคิดเห็น
0 การแบ่งปัน
1 มุมมอง
0 รีวิว