SecBoard
Zurück zur CVE-Übersicht

CVE-2022-25235

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score26/100 — MITTEL
  • CVSS 9.8 — Kritisch

Erwähnungen (letzte 60 Tage)

Artikel

EPSS-Score

5.0%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

Die Schwachstelle CVE-2022-25235 betrifft Expat (libexpat) vor Version 2.4.5 und resultiert aus einer unzureichenden Validierung der Kodierung in der Datei xmltok_impl.c. Diese fehlende Überprüfung, ob ein UTF-8-Zeichen in einem bestimmten Kontext gültig ist, kann zu schwerwiegenden Auswirkungen führen. Betroffen sind unter anderem Debian Linux, Fedora und Oracle HTTP Server sowie Oracle ZFS Storage Appliance Kit. Mit einem CVSS-Score von 9.8 (CRITICAL) wird diese Schwachstelle als extrem kritisch eingestuft. Obwohl die Probability Score () mit 5% relativ niedrig ist und die Schwachstelle nicht im () Katalog gelistet ist, deutet der hohe CVSS-Wert auf ein erhebliches potenzielles Risiko hin, sollte eine Ausnutzung gelingen. Security-Teams sollten umgehend alle betroffenen Systeme, insbesondere libexpat-Installationen, auf Version 2.4.5 oder höher aktualisieren. Eine Priorisierung dieser Patches ist aufgrund der Kritikalität der Schwachstelle dringend empfohlen, um potenzielle Angriffe durch unzureichende Kodierungsvalidierung zu verhindern.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

xmltok_impl.c in Expat (aka libexpat) before 2.4.5 lacks certain validation of encoding, such as checks for whether a UTF-8 character is valid in a certain context.

Betroffene Produkte

  • cpe:2.3:a:libexpat_project:libexpat:*:*:*:*:*:*:*:*
  • cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*
  • cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:*
  • cpe:2.3:o:fedoraproject:fedora:34:*:*:*:*:*:*:*
  • cpe:2.3:o:fedoraproject:fedora:35:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:http_server:12.2.1.3.0:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:http_server:12.2.1.4.0:*:*:*:*:*:*:*
  • cpe:2.3:a:oracle:zfs_storage_appliance_kit:8.8:*:*:*:*:*:*:*
  • cpe:2.3:a:siemens:sinema_remote_connect_server:*:*:*:*:*:*:*:*

Referenzen