In den in CPython gelieferten Klassen zur Entpackung von komprimierten Daten in den Formaten lzma, bz2 und gzip (lzma.LZMADecompressor, bz2.BZ2Decompressor und gzip.GzipFile) wurde eine Schwachstelle (CVE-2026-6100) entdeckt, die zu einem Zugriff auf den Speicher nach dessen Freigabe führt. Die Problematik hat eine kritische Gefährdungsstufe (9,1 von 10) erhalten — im Falle einer erfolgreichen Ausnutzung könnte die Schwachstelle zu einer Datenschutzverletzung aus dem Prozessspeicher oder zur Ausführung von Angreifercode beim Entpacken speziell gestalteter Daten führen. Ein Fix ist derzeit in Form eines Patches verfügbar.
Das Problem tritt nach Abschluss des Speicherzuweisungsprozesses auf, wobei ein Fehler auftritt, der durch Speichermangel verursacht wird (für eine erfolgreiche Ausnutzung der Schwachstelle muss der Angreifer Bedingungen schaffen, die den verfügbaren Speicher des Prozesses erschöpfen). Der Zugriff auf bereits freigegebenen Speicher tritt in Anwendungen auf, die eine Objektinstanz nach Rückgabe eines Fehlers im Entpackungsprozess wiederverwenden. Anwendungen, die bei jedem Aufruf eine neue Objektinstanz erstellen, sind von der Schwachstelle nicht betroffen.
Quelle: opennet.ru
