了解 Google Project Zero 在软件安全中的作用
Google Project Zero 是一个杰出的安全团队，致力于识别包括 Google 在内的各家供应商软件产品中的漏洞。他们独特的披露流程包括私下通知供应商安全问题，并给予供应商 90 天的时间来开发和发布补丁。在某些情况下，可能会提供额外的 30 天宽限期。
这种方法背后的原理很简单：当安全威胁即将被公开披露时，企业会受到激励，加快响应速度。多年来，Project Zero 已记录了多个平台的漏洞，包括 Windows、ChromeOS 和 Linux CentOS。最近，该团队因在一个广泛使用的 GNOME 库中发现一个安全问题而登上头条新闻。
Libxslt：GNOME 的关键组件
libxslt库基于 libxml2 框架构建，是 GNOME 项目下开源软件生态系统的重要组成部分。该库通过可扩展样式表语言转换 (XSLT) 实现 XML 文档的转换。其应用范围广泛，从将 XML 转换为 Web 浏览器可用的 HTML，到在办公软件中渲染内容，不一而足。值得注意的是，它已被集成到各种应用程序中，包括 PHP 和 Python Web 实现、Doxygen、Gnumeric 以及 GNOME 帮助系统。
近期发现的漏洞
几个月前，Google Project Zero 发现了 libxslt 中的一个严重漏洞，并于 2025 年 5 月 6 日私下将此问题告知了 GNOME 团队。作为其标准协议的一部分，他们提供了 90 天的修复期。如果您对技术细节感兴趣，可以在此处找到有关该漏洞的详细信息。总而言之，该漏洞是一个释放后使用 (UAF) 问题，源于特定条件下对结果值树 (RVT) 的不当管理。此漏洞存在重大风险，可能使系统面临恶意代码执行的风险，并导致因段错误而导致的软件崩溃。
Google Project Zero 指定的严重性等级反映了该缺陷的潜在影响：优先级分类为 P2，严重性等级为 S2，表明虽然该问题属于中等严重程度，但它可能会对相关应用程序产生重大影响。
GNOME 的持续响应
为了响应 Project Zero 的发现，GNOME 也密切跟踪了所报告的 bug，并在标准披露期结束后将其公开。查看讨论帖后发现，虽然正在努力创建补丁，但由于一些可能破坏其他组件的复杂因素，进展受到了阻碍。此外，libxslt 缺乏积极的维护者也令人担忧，据报道，其原始创建者 Daniel Veillard 已数月未回复。这增加了上游补丁可能永远无法实现的可能性，最终导致下游系统不得不“自生自灭”。
结论：形势复杂
目前围绕该漏洞的形势错综复杂。谷歌在90天期限过后公开披露了该漏洞，而GNOME却未提出异议，这凸显了一个严峻的现实。由于缺乏专门的维护人员，该项目只能承受未解决问题带来的后果，而该漏洞目前已公开发布，并附带概念验证 (PoC) 代码，这给网络犯罪分子利用该漏洞带来了巨大的风险。
发表回复