V dodávaných třídách pro dekompresi dat ve formátech lzma, bz2 a gzip (lzma.LZMADecompressor, bz2.BZ2Decompressor a gzip.GzipFile) byla zjištěna zranitelnost (CVE-2026-6100), která vede k přístupu k paměti po jejím uvolnění. Problém byl ohodnocen jako kritický (9.1 z 10) — v případě úspěšného zneužití může zranitelnost způsobit únik informací z paměti procesu nebo provádění kódu útočníka při dekompresi speciálně upravených dat. Oprava je zatím k dispozici ve formě patch.
Problém se projevuje po ukončení operace alokace paměti chybou, která nastane při nedostatku paměti (pro úspěšné zneužití zranitelnosti musí útočník vytvořit podmínky pro vyčerpání dostupné paměti procesu). Přístup k již uvolněné paměti se objevuje v aplikacích, které znovu používají instanci objektu po vrácení chyby během dekomprese. Aplikace, které při každém volání vytvářejí novou instanci objektu, nejsou zranitelné.
Zdroj: opennet.ru
