p PatchFirst

CVE-2026-41401

CVE-2026-41401 · libyang - Heap Use-After-Free Write in XML Metadata Parsing

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

libyang before 5.2.6 contains a heap use-after-free write vulnerability in lyd_parser_set_data_flags that incorrectly updates metadata list pointers when freeing non-head default metadata entries. Attackers can trigger this vulnerability by submitting crafted YANG XML documents with specific metadata attributes to applications parsing untrusted XML data, causing process crashes or potential code execution.

CVSS 6.9 · Moyenne · EPSS 0,7% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system

Produits et versions concernés

  • libyang

    Versions du logiciel
    • ≥ 0, < 5.4.3: Concernée (custom)
    • 5.4.3: Non concernée (custom)

    Mettez à jour vers 5.4.3

  • libyang Debian:13

    Versions du logiciel
    • 3.12.2-1
    • 3.13.5-1
    • 3.13.5-2
    • 3.13.6-1
    • 3.13.6-1~bpo13+1
    • 4.2.2-1
    • 4.2.2-2
    • 4.2.2-3
    • 4.3.3-1
    • 4.3.4-1
    • 4.7.3-1
    • 5.0.2-1
    • 5.0.8-1
    • 5.4.1+really5.4.1-1
    • 5.4.1-1
    • 5.4.5-1
    • 5.4.9-1
    • 5.7.1-1
    • 5.8.5-1
    • 5.8.6-1
    • 5.8.6-2
    • 6.1.4-1
    • 6.4.13-1
    • 6.4.3-1
    • 6.4.6-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • libyang Debian:14

    Versions du logiciel
    • 3.12.2-1
    • 3.13.5-1
    • 3.13.5-2
    • 3.13.6-1
    • 3.13.6-1~bpo13+1
    • 4.2.2-1
    • 4.2.2-2
    • 4.2.2-3
    • 4.3.3-1
    • 4.3.4-1
    • 4.7.3-1
    • 5.0.2-1
    • 5.0.8-1
    • 5.4.1+really5.4.1-1
    • 5.4.1-1
    • 5.4.5-1
    • 5.4.9-1
    • 5.7.1-1
    • 5.8.5-1
    • 5.8.6-1
    • 5.8.6-2
    • 6.1.4-1
    • 6.4.3-1
    • 6.4.6-1
    Plages de versions concernées
    • ECOSYSTEM: < 6.4.13-1

    Mettez à jour vers 6.4.13-1

  • libyang2 Debian:12

    Versions du logiciel
    • 2.1.148-0.1
    • 2.1.148-0.2
    • 2.1.30-2
    • 2.1.30-2.1
    • 2.1.30-2.1~exp1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • libyang Ubuntu:20.04:LTS

    Versions du logiciel
    • 0.16.105-1
    • 0.16.105-2
    • 0.16.105-3
    • 0.16.105-3build1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • libyang Ubuntu:22.04:LTS

    Versions du logiciel
    • 1.0.225-1.1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • libyang Ubuntu:25.10

    Versions du logiciel
    • 3.7.8-3
    • 3.12.2-1
    • 3.12.2-1ubuntu1
    • 3.13.5-2
    Plages de versions concernées
    • ECOSYSTEM: < 3.13.5-2ubuntu0.1

    Mettez à jour vers 3.13.5-2ubuntu0.1

  • libyang Ubuntu:26.04:LTS

    Versions du logiciel
    • 3.13.5-2
    • 3.13.6-1
    Plages de versions concernées
    • ECOSYSTEM: < 3.13.6-1ubuntu0.1

    Mettez à jour vers 3.13.6-1ubuntu0.1

Sources originales

Vérifiez votre serveur →