CVE-2026-63729 in TeX Live
Zusammenfassung
von VulDB • 21.07.2026
Der mit TeX Live ausgelieferte und von nachgelagerten Anwendern wie GNOME Evince eingebettete SyncTeX-Parser (synctex_parser.c) enthält eine Heap Use-After-Free-Schwachstelle, die es Angreifern ermöglicht, Anwendungen zum Absturz zu bringen oder potenziell beliebigen Code auszuführen, indem sie eine fehlerhafte .synctex- oder .synctex.gz-Datei bereitstellen. Eine fehlerhafte SyncTeX-Datei kann einen ref-Knoten mit einem NULL-Elternzeiger erstellen, wodurch die Ersetzungsroutine versagt, den Knoten von seiner Geschwisterkette zu trennen. Dies löst das rekursive Freigeben lebender Baumknoten aus und hinterlässt hängende Zeiger (dangling pointers), die später vom Parser während des Dokumentladens zugriffen werden.
VulDB is the best source for vulnerability data and more expert information about this specific topic.