In GNU Wget2 2.2.1 wurde eine Schwachstelle behoben, die das Überschreiben beliebiger Dateien zulässt.

Die Veröffentlichung des GNU Wget2 Projekts 2.2.1 ist verfügbar, das eine von Grund auf neu geschriebene und vollständig überarbeitete Version des Programms zur Automatisierung des rekursiven Downloads von Inhalten GNU Wget darstellt. Wget2 bietet eine Reihe zusätzlicher Optionen, unterstützt das Herunterladen in mehreren Streams, ermöglicht die Nutzung der verfügbaren Funktionalität über die Bibliothek libwget, unterstützt die Protokolle HTTP/2 und TLS 1.3, ermöglicht das Herunterladen nur von geänderten Daten, kann Daten von Streaming-Servern speichern, verarbeitet internationalisierte Domainnamen korrekt und kann die heruntergeladenen Inhalte umkodieren. Das wget2-Tool wird unter der GPLv3+ Lizenz angeboten, während die Bibliothek unter der LGPLv3 Lizenz bereitgestellt wird.

In der neuen Version wurden zwei Sicherheitsanfälligkeiten behoben:

• CVE-2025-69194 – fehlende ordnungsgemäße Überprüfung von Dateipfaden bei der Verarbeitung von Inhalten im Metalink-Format, das zur Beschreibung von Links für Downloads verwendet wird. Durch die Verwendung der Sequenz „../“ in Dateipfaden innerhalb des Blocks kann ein Angreifer die Erstellung, das Löschen oder das Überschreiben beliebiger Dateien außerhalb des Basisverzeichnisses, in das heruntergeladen wird, erreichen. Zum Beispiel kann ein Angreifer den Inhalt von ~/.ssh/authorized_keys oder ~/.bashrc überschreiben und somit die Ausführung seines Codes im System erzwingen.
• CVE-2025-69195 – Pufferüberlauf im Code zur Bereinigung von Dateinamen in der Funktion get_local_filename_real(), die potenziell zu einer Codeausführung führen kann, wenn speziell formatierte URLs auf den herunterzuladenden Seiten oder bei der Verarbeitung von Weiterleitungen bearbeitet werden. Das Problem tritt auf, wenn die Option „—restrict-file-names=windows|unix|ascii“ aktiviert ist und wird durch die Reservierung eines festen 1024-Byte-Puffers ohne Überprüfung der tatsächlichen Größe der zu schreibenden Daten verursacht.

Von nicht sicherheitsrelevanten Änderungen hervorzuheben ist die Hinzufügung der Option „—show-progress“ zur Anzeige des Download-Fortschritts, die Verwendung der lokalen Zeit bei Angabe der Option „—no-use-server-timestamps“, die Unterstützung des „no_“-Präfixes in den Konfigurationsparametern und der Einsatz von libnghttp2 zum Testen von HTTP/2.

Quelle: opennet.ru