Expat XML-Parser behebt langjährige kritische Sicherheitslücke: Ein Kampf über ein Jahrzehnt
Nach zweieinhalb Jahren intensiver Arbeit wurde eine seit langem bestehende kritische Sicherheitslücke (CVE-2024-8176) im Expat XML-Parser behoben. Die Schwachstelle, die durch rekursive Aufrufe zu Stack-Overflows und Denial-of-Service-Angriffen führen konnte, wurde in Version 2.7.0 gepatcht. Der Maintainer Sebastian Pipping arbeitete zehn Monate lang mit Siemens und anderen Unternehmen zusammen, um drei Varianten des Problems zu beheben, nachdem er zuvor zahlreiche Firmen um Hilfe gebeten hatte. Das Release enthält außerdem weitere Verbesserungen wie einen neuen Fuzzer und 64-Bit-Binärdateien für Windows. Diese Geschichte verdeutlicht die versteckten Sicherheitsrisiken selbst in scheinbar einfachen Programmiertechniken und die Bedeutung der Zusammenarbeit in der Open-Source-Community.
Mehr lesen