摘要:
libsoup security update
安全等级: High
公告ID: KylinSec-SA-2025-2480
发布日期: 2025年5月30日
关联CVE: CVE-2025-2784 CVE-2025-32053 CVE-2025-32052 CVE-2025-32050
libsoup 是 GNOME 桌面环境的 HTTP 客户端/服务器库。它通过集成 GObject 和 glib 主循环机制与 GNOME 应用深度兼容，同时提供同步 API 以支持多线程应用开发。
安全修复：
CVE-2025-2784
libsoup 的 skip_insight_whitespace() 函数在内容嗅探过程中存在堆缓冲区越界读取漏洞。攻击者可通过构造恶意 HTTP 响应，诱导客户端读取超出分配内存边界的一个字节数据。
CVE-2025-32050
libsoup 的 append_param_quoted() 函数存在溢出漏洞，可能导致缓冲区下溢。该缺陷源于参数处理逻辑未正确校验数据长度，攻击者可构造超长参数触发内存异常。
CVE-2025-32052
sniff_unknown() 函数存在堆缓冲区越界读取漏洞。当解析非标准协议数据时，内存访问越界可能导致敏感信息泄露或进程崩溃。
CVE-2025-32053
sniff_feed_or_html() 与 skip_insignificant_space() 函数组合使用时，因边界条件处理不当引发堆缓冲区越界读取。攻击者可通过精心构造的 HTML 数据包触发内存损坏。
| cve名称 | 产品 | 组件 | 是否受影响 |
|---|---|---|---|
| CVE-2025-2784 | V6 | libsoup | Fixed |
| CVE-2025-2784 | KY3.4-5 | libsoup | Fixed |
| CVE-2025-32053 | V6 | libsoup | Fixed |
| CVE-2025-32053 | KY3.4-5 | libsoup | Fixed |
| CVE-2025-32052 | V6 | libsoup | Fixed |
| CVE-2025-32052 | KY3.4-5 | libsoup | Fixed |
| CVE-2025-32050 | V6 | libsoup | Fixed |
| CVE-2025-32050 | KY3.4-5 | libsoup | Fixed |
| 软件名称 | 架构 | 版本号 |
|---|---|---|
| libsoup-help | noarch | 2.71.0-5.kb1.ky3_4 |
| libsoup | x86_64 | 2.71.0-5.kb1.ky3_4 |
| libsoup-devel | x86_64 | 2.71.0-5.kb1.ky3_4 |
| libsoup | aarch64 | 2.71.0-5.kb1.ky3_4 |
| libsoup-devel | aarch64 | 2.71.0-5.kb1.ky3_4 |
| 软件名称 | 架构 | 版本号 |
|---|---|---|
| libsoup-help | noarch | 2.74.3-5.ks6 |
| libsoup | x86_64 | 2.74.3-5.ks6 |
| libsoup-devel | x86_64 | 2.74.3-5.ks6 |
| libsoup | aarch64 | 2.74.3-5.ks6 |
| libsoup-devel | aarch64 | 2.74.3-5.ks6 |
方法一：下载安装包进行升级安装
1、通过下载链接下载需要升级的升级包保存，如 xxx.rpm
2、通过rpm命令升级，如 rpm -Uvh xxx.rpm
方法二：通过软件源进行升级安装
1、保持能够连接上互联网
2、通过yum命令升级指定的包，如 yum install 包名
