CVE-2014-4877
WysokieStreszczenie
W podatności CVE-2014-4877 w GNU Wget przed wersją 1.16, przy włączonej rekurencji, zdalne serwery FTP mogą zapisywać do dowolnych plików, co pozwala na wykonanie dowolnego kodu. Problem ten występuje w odpowiedzi LIST, która odnosi się do tej samej nazwy pliku w dwóch wpisach, z których jeden wskazuje, że nazwa pliku dotyczy dowiązania symbolicznego.
Ocena ryzyka
Organizacje mogą być narażone na zdalne wykonanie kodu, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych. Wykorzystanie tej podatności przez atakującego może skutkować przejęciem kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację GNU Wget do wersji 1.16 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto rozważyć ograniczenie dostępu do serwerów FTP oraz monitorowanie aktywności sieciowej.
Inne podatności w GNU Wget
Zobacz wszystkie- CVE-2016-4971Wysokie
GNU wget w wersjach przed 1.18 umożliwia zdalnym serwerom zapis do dowolnych plików poprzez przekierowanie żądania z HTTP do spreparowanego zasobu FTP.
- CVE-2024-38428Średnie
Podatność w GNU Wget do wersji 1.24.5. Funkcja url.c nieprawidłowo obsługuje średniki w komponencie userinfo URI, co może prowadzić do błędnej interpretacji danych jako części hosta.
- CVE-2026-16599Średnie
GNU wget jest podatny na atak DoS w funkcji uwierzytelniania FTP OPIE/S-KEY. Numer sekwencji dostarczony przez serwer w linii wyzwania FTP jest używany jako liczba iteracji w pętli wyprowadzania klucza MD5 bez górnego limitu. Złośliwy serwer FTP lub atakujący w sieci może wysłać spreparowane wyzwanie OPIE z numerem sekwencji bliskim INT_MAX, powodując wykonanie około 2,1 miliarda obliczeń MD5 i zawieszenie wget na pewien czas. Opcja --timeout nie łagodzi tego, ponieważ dotyczy tylko I/O sieciowego, a nie obliczeń CPU.
- CVE-2026-15146Średnie
GNU Wget nie weryfikuje adresu IP zwróconego w odpowiedzi PASV protokołu FTP podczas pracy w trybie pasywnym. Złośliwy serwer FTP lub serwer HTTP przekierowujący do URL-a FTP może wykorzystać to zachowanie do przekierowania połączenia danych Wget na dowolny adres IP i port.
- CVE-2026-58472Średnie
GNU Wget do wersji 1.25.0 zawiera podatność przepełnienia bufora sterty w funkcji html_quote_string() w pliku src/convert.c. Zdalny atakujący może wykorzystać spreparowany atrybut HTML z dużą liczbą znaków wymagających kodowania encji, co prowadzi do przepełnienia licznika całkowitoliczbowego, nieprawidłowego przydziału pamięci i przepełnienia bufora sterty.
- CVE-2026-58471Średnie
GNU Wget do wersji 1.25.0 zawiera podatność przepełnienia bufora sterty w funkcji convert_fname() w pliku src/url.c. Błąd występuje podczas konwersji zestawu znaków nazwy pliku dostarczonej przez serwer, gdy ponowna alokacja bufora wyjściowego nieprawidłowo oblicza pozostałe miejsce, co może prowadzić do uszkodzenia pamięci.
- CVE-2026-58470Średnie
W GNU Wget do wersji 1.25.0 włącznie, w funkcji parse_content_range() w pliku src/http.c, występuje podatność na przepełnienie liczby całkowitej. Atakujący może dostarczyć złośliwe wartości nagłówka Content-Range, powodując przepełnienie arytmetyki liczb całkowitych ze znakiem, co prowadzi do niezdefiniowanego zachowania i desynchronizacji pobierania.
- CVE-2026-58469Wysokie
GNU Wget do wersji 1.25.0 zawiera podatność polegającą na odczycie poniżej początku bufora sterty w funkcji clean_metalink_string() w pliku src/metalink.c. Złośliwy serwer może wykorzystać ten błąd, dostarczając dokument Metalink zawierający adres URL składający się wyłącznie ze znaków białych, co prowadzi do uszkodzenia pamięci.
Oryginalny opis (angielski, źródło NVD)
Absolute path traversal vulnerability in GNU Wget before 1.16, when recursion is enabled, allows remote FTP servers to write to arbitrary files, and consequently execute arbitrary code, via a LIST response that references the same filename within two entries, one of which indicates that the filename is for a symlink.