Достъпен е новият релиз на проекта GNU Wget2 2.2.1, който представлява изцяло преработена версия на програмата за автоматизирано рекурсивно изтегляне на съдържание GNU Wget. Wget2 предлага набор от допълнителни опции, поддържа многопоточна изтегляне, позволява използването на наличната функционалност чрез библиотеката libwget, поддържа протоколите HTTP/2 и TLS 1.3, дава възможност за изтегляне само на изменените данни, може да запазва данни от стрийминг сървъри, коректно обработва интернационализирани домейни и може да прекодира изтегляното съдържание. Утилитата wget2 идва с лиценз GPLv3+, а библиотеката с LGPLv3+.
В новата версия са отстранени две уязвимости:
- CVE-2025-69194 — липса на необходима проверка на пътя на файловете при обработка на съдържание във формат Metalink, използван за описание на линкове към файлове за изтегляне. Използвайки последователността „../“ в пътищата на файловете вътре в блока , атакуващият може да създава, изтрива или презаписва произволни файлове извън основния каталог, в който се извършва изтеглянето. Например, атакуващият може да презапише съдържанието ~/.ssh/authorized_keys или ~/.bashrc и да накара системата да изпълни своя код.
- CVE-2025-69195 — препълване на буфера в кода за почистване на имена на файлове в функцията get_local_filename_real(), което потенциално може да доведе до изпълнение на код при обработка на специално форматирани URL адреси на изтегляните страници или при обработка на пренасочвания. Проблемът се проявява при включена опция „--restrict-file-names=windows|unix|ascii“ и е причинен от заделението на фиксиран 1024-байтов буфер без проверка на действителния размер на записваните данни.
От несвързаните със сигурността промени може да се отбележи добавянето на опция „--show-progress“ за индикация на напредъка на изтеглянето, използването на локално време при указване на опция „--no-use-server-timestamps“, поддръжката на префикса ‘no_‘ в конфигурационните параметри и активирането на libnghttp2 за тестване на HTTP/2.
Източник: opennet.ru
