CVE-2026-16599
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
GNU wget jest podatny na atak DoS w funkcji uwierzytelniania FTP OPIE/S-KEY. Numer sekwencji dostarczony przez serwer w linii wyzwania FTP jest używany jako liczba iteracji w pętli wyprowadzania klucza MD5 bez górnego limitu. Złośliwy serwer FTP lub atakujący w sieci może wysłać spreparowane wyzwanie OPIE z numerem sekwencji bliskim INT_MAX, powodując wykonanie około 2,1 miliarda obliczeń MD5 i zawieszenie wget na pewien czas. Opcja --timeout nie łagodzi tego, ponieważ dotyczy tylko I/O sieciowego, a nie obliczeń CPU.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku DoS na klienta wget, co może prowadzić do zawieszenia procesu i niedostępności usług.
Rekomendacja
Zaleca się aktualizację GNU wget do wersji zawierającej poprawkę (commit e9697d98e7249b0f68a6be040a4f3dcc5bc101fa).
Inne podatności w GNU wget
Zobacz wszystkie- CVE-2016-4971Wysokie
GNU wget w wersjach przed 1.18 umożliwia zdalnym serwerom zapis do dowolnych plików poprzez przekierowanie żądania z HTTP do spreparowanego zasobu FTP.
- CVE-2014-4877Wysokie
W podatności CVE-2014-4877 w GNU Wget przed wersją 1.16, przy włączonej rekurencji, zdalne serwery FTP mogą zapisywać do dowolnych plików, co pozwala na wykonanie dowolnego kodu. Problem ten występuje w odpowiedzi LIST, która odnosi się do tej samej nazwy pliku w dwóch wpisach, z których jeden wskazuje, że nazwa pliku dotyczy dowiązania symbolicznego.
- CVE-2024-38428Średnie
Podatność w GNU Wget do wersji 1.24.5. Funkcja url.c nieprawidłowo obsługuje średniki w komponencie userinfo URI, co może prowadzić do błędnej interpretacji danych jako części hosta.
- CVE-2026-15146Średnie
GNU Wget nie weryfikuje adresu IP zwróconego w odpowiedzi PASV protokołu FTP podczas pracy w trybie pasywnym. Złośliwy serwer FTP lub serwer HTTP przekierowujący do URL-a FTP może wykorzystać to zachowanie do przekierowania połączenia danych Wget na dowolny adres IP i port.
- CVE-2026-58472Średnie
GNU Wget do wersji 1.25.0 zawiera podatność przepełnienia bufora sterty w funkcji html_quote_string() w pliku src/convert.c. Zdalny atakujący może wykorzystać spreparowany atrybut HTML z dużą liczbą znaków wymagających kodowania encji, co prowadzi do przepełnienia licznika całkowitoliczbowego, nieprawidłowego przydziału pamięci i przepełnienia bufora sterty.
- CVE-2026-58471Średnie
GNU Wget do wersji 1.25.0 zawiera podatność przepełnienia bufora sterty w funkcji convert_fname() w pliku src/url.c. Błąd występuje podczas konwersji zestawu znaków nazwy pliku dostarczonej przez serwer, gdy ponowna alokacja bufora wyjściowego nieprawidłowo oblicza pozostałe miejsce, co może prowadzić do uszkodzenia pamięci.
- CVE-2026-58470Średnie
W GNU Wget do wersji 1.25.0 włącznie, w funkcji parse_content_range() w pliku src/http.c, występuje podatność na przepełnienie liczby całkowitej. Atakujący może dostarczyć złośliwe wartości nagłówka Content-Range, powodując przepełnienie arytmetyki liczb całkowitych ze znakiem, co prowadzi do niezdefiniowanego zachowania i desynchronizacji pobierania.
- CVE-2026-58469Wysokie
GNU Wget do wersji 1.25.0 zawiera podatność polegającą na odczycie poniżej początku bufora sterty w funkcji clean_metalink_string() w pliku src/metalink.c. Złośliwy serwer może wykorzystać ten błąd, dostarczając dokument Metalink zawierający adres URL składający się wyłącznie ze znaków białych, co prowadzi do uszkodzenia pamięci.
Oryginalny opis (angielski, źródło NVD)
GNU wget is vulnerable to denial of service in its FTP OPIE/S-KEY authentication functionality. The server-supplied sequence number from the FTP challenge line is used as an iteration count for an MD5 key-derivation loop without any upper bound validation. A malicious FTP server or a network attacker positioned to intercept FTP traffic can send a crafted OPIE challenge with a sequence number near INT_MAX, causing wget to perform up to approximately 2.1 billion MD5 computations and suspend for some time. The --timeout option does not mitigate this because it applies only to network I/O, not CPU computation. This issue was fixed in commit e9697d98e7249b0f68a6be040a4f3dcc5bc101fa