CVE-2022-23852

CVE-2022-23852 betrifft die Bibliothek libexpat vor Version 2.4.4 und ist eine Schwachstelle des Typs Signed Integer Overflow in der Funktion XML_GetBuffer. Diese tritt auf, wenn XML_CONTEXT_BYTES auf einen Wert ungleich Null gesetzt ist. Eine erfolgreiche Ausnutzung kann zu einem Denial of Service oder potenziell zur Ausführung beliebigen Codes führen. Die Schwachstelle wird mit einem CVSS-Score von 9.8 als kritisch eingestuft, was auf ein hohes Risiko hinweist. Die Exploit Prediction Scoring System (EPSS)-Wahrscheinlichkeit liegt bei 5%, was auf eine derzeit eher geringe, aber nicht zu vernachlässigende Ausnutzungswahrscheinlichkeit hindeutet. Sie ist derzeit nicht im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet. Security-Teams sollten umgehend alle betroffenen Systeme identifizieren, die libexpat verwenden, insbesondere in den genannten Produkten wie Tenable Nessus, Oracle Communications MetaSolv Solution und Siemens SINEMA Remote Connect Server. Eine Priorisierung des Patchings auf die neueste Version von libexpat (2.4.4 oder höher) ist dringend empfohlen, um das Risiko zu minimieren.