CVE-2026-6653: Use-After-Free em xmlParseInternalSubset do libxml2 Causando Negação de Serviço

Visão geral

A CVE-2026-6653 descreve uma condição de use-after-free na função xmlParseInternalSubset da libxml2 da GNOME. O registro associa a falha ao tratamento inadequado da resolução de entidades e a classifica como CWE-416. O resultado descrito é a negação de serviço.

Impacto

O registro informa que um atacante remoto pode causar negação de serviço ao fornecer entrada XML maliciosamente elaborada.
A NVD atribui pontuação base CVSS 3.1 de 9.8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica acessibilidade pela rede e alto impacto em confidencialidade, integridade e disponibilidade.
A CNA Ubuntu informa pontuação CVSS 4.0 de 7. O registro não explica a diferença entre as duas pontuações.
Se a falha permite algo além da negação de serviço não é possível determinar com as informações disponíveis.

Produtos e versões afetadas

Produto: Xmlsoft Libxml2 (libxml2 da GNOME).
Intervalo informado no registro: versões maiores ou iguais a 2.9.11 e menores ou iguais a 2.11.0.
Versões fora desse intervalo não são apontadas como afetadas no registro, mas o registro também não confirma que estejam livres da falha.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro fornecido.
Não há exploração ativa confirmada nem exploração em campo nas fontes consultadas.
As referências possuem a marcação Exploit em seus metadados. Essa marcação, por si só, não comprova que houve exploração.

Correção e mitigação

O registro vincula um patch no rastreador de issues do projeto GNOME libxml2. Analise esse patch e as informações do projeto para identificar a primeira versão corrigida.
Inventarie sistemas e aplicações que incorporam ou dependem da libxml2 na faixa afetada, incluindo cópias empacotadas em softwares de terceiros.
Priorize a atualização de serviços expostos à internet e de componentes que processam XML de fontes não confiáveis.
Enquanto a versão corrigida não estiver implantada, considere restringir a exposição das funções de análise XML a entradas confiáveis, seguindo a política de controles compensatórios da sua organização.

Orientações de detecção

Monitore serviços que processam XML em busca de travamentos inesperados, reinicializações ou erros de memória, que podem indicar tentativas de acionar a falha.
Revise os logs das aplicações em busca de requisições XML repetidas com falha ou anormais vindas de origens externas.
Acompanhe os avisos da Ubuntu e da GNOME para atualizações sobre o status da vulnerabilidade.

Limitações das informações disponíveis

O registro não informa o número da versão corrigida.
O registro não fornece detalhes técnicos das condições de acionamento, e esta análise não os acrescenta.
Não há pontuação EPSS, dados SSVC ou detalhes do KEV no registro.
A diferença entre a pontuação CVSS 3.1 da NVD e a CVSS 4.0 da Ubuntu não é explicada.

Perguntas frequentes

Quais versões da libxml2 são apontadas como afetadas pela CVE-2026-6653?

O registro aponta as versões da libxml2 da GNOME maiores ou iguais a 2.9.11 e menores ou iguais a 2.11.0 como afetadas.

A CVE-2026-6653 é conhecida como explorada ativamente?

O catálogo KEV da CISA não a lista no registro fornecido, e não há exploração ativa confirmada nas fontes consultadas.

Qual é a versão corrigida?

O registro não informa uma versão corrigida. Ele vincula um patch no rastreador de issues da GNOME libxml2, que deve ser analisado para identificar a primeira versão corrigida.

Por que há duas pontuações CVSS diferentes?

A NVD informa CVSS 3.1 com pontuação 9.8, enquanto a CNA Ubuntu informa CVSS 4.0 com pontuação 7. O registro não explica a diferença.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.