Het Nationaal Cyber Security Center (NCSC) van de overheid heeft vandaag een waarschuwing afgegeven voor een lek in libxml2 waarvoor nog geen beveiligingsupdate beschikbaar is en waardoor aanvallers een Denial of Service bij webapplicaties kunnen veroorzaken.

Libxml2 is een programmeerbibliotheek voor XML (Extensible Markup Language), een taal die het mogelijk maakt om op gestructureerde wijze informatie tussen applicaties uit te wisselen. Het lek zorgt ervoor dat een aanvaller de totale processorcapaciteit van het systeem in beslag kan nemen, zodat andere toepassingen hier geen gebruik meer van kunnen maken. In de praktijk kan dit ervoor zorgen dat een webapplicatie niet meer te benaderen is.

Het nu ontdekte probleem is een variant op de bekende "Billion Laughs-aanval" uit 2003. Het gaat hier om een DoS-aanval die zich richt op XML-parsers. Een aanvaller biedt specifieke invoer als XML-document aan. Daardoor neemt het aantal opdrachten exponentieel toe, zodat de XML-parser en uiteindelijk de capaciteit van het computersysteem overbeladen wordt.

Ontwikkelaar

Het lek kwam aan het licht tijdens een veiligheidstest die in opdracht van Logius werd uitgevoerd, de overheidspartij die DigiD beheert. Het lek is voor de systemen van Logius inmiddels opgelost door het doorvoeren van mitigerende maatregelen. De kwetsbaarheid werd vervolgens door Logius en de betrokken veiligheidsonderzoekers bij het NCSC gemeld.

Het NCSC heeft hierop de ontwikkelaar van Libxml2 ingelicht. Hij besloot echter om de kwetsbaarheid publiekelijk bekend te maken en heeft daarbij een oplossing (libxml2-2.9.2) aan softwareleveranciers aangeboden waarmee de leveranciers voor hun eigen software een beveiligingsupdate kunnen ontwikkelen. Deze updates zijn echter nog niet beschikbaar.

"Het NCSC betreurt het dat de ontwikkelaar er voor heeft gekozen, bewust of onbewust, om de kwetsbaarheid openbaar te maken zonder dat een gerichte oplossing van leveranciers beschikbaar is. Het NCSC had dit conform de door haar gewenste praktijk van responsible disclosure geprefereerd", zo laat de overheidsinstantie weten. Er is nu een factsheet gepubliceerd met tips om misbruik te voorkomen.