Zraniteľnosť v softvéri GNU wget
CERT Polska zverejnil zraniteľnosť CVE-2026-16599 v GNU wget. Ide o Denial of Service v autentifikácii FTP OPIE/S-KEY: sfalšovaná požiadavka s poradovým číslom blízkym INT_MAX môže na dlhší čas zavesiť program. Postihnuté sú verzie do 1.25.0 vrátane.
CVE ID
Dátum publikácie
25. augusta 2026
Výrobca zraniteľného softvéru
GNU
Názov zraniteľného softvéru
wget
Zraniteľné verzie
Všetky do verzie 1.25.0 vrátane
Typ zraniteľnosti (CWE)
Unchecked input for loop condition (CWE-606)
Zdroj hlásenia
Hlásenie pre CERT Polska
Popis zraniteľnosti
CERT Polska prijal hlásenie o zraniteľnosti v softvéri GNU wget a koordinoval proces zverejnenia informácií.
Zraniteľnosť CVE-2026-16599: V softvéri GNU wget bola identifikovaná zraniteľnosť typu Denial of Service vo funkcionalite autentifikácie FTP OPIE/S-KEY. Útočníkom špeciálne pripravený FTP server alebo útočník zachytávajúci FTP prevádzku môže odoslať sfalšovanú požiadavku OPIE s poradovým číslom blízkym INT_MAX. Softvér nekontroluje hornú hranicu tejto hodnoty, čo spôsobí vykonanie miliárd výpočtov a zavesenie programu na dlhší čas.
Tento problém bol opravený v commite e9697d98e7249b0f68a6be040a4f3dcc5bc101fa.
Poďakovanie
Za nahlásenie zraniteľnosti ďakujeme Michałovi Majchrowiczovi a Marcinovi Wyczechowskému z tímu AFINE.
Viac o procese nahlasovania zraniteľností si môžete prečítať na stránke https://cert.pl/cvd/.
