GNU Wget2 2.2.1 ist jetzt verfügbar. Es handelt sich um eine vollständig neu geschriebene und überarbeitete Version des GNU Wget-Programms für den automatisierten, rekursiven Download von Inhalten. Wget2 bietet zahlreiche zusätzliche Optionen, unterstützt Multithreading, ermöglicht die Nutzung der verfügbaren Funktionen der libwget-Bibliothek, unterstützt die Protokolle HTTP/2 und TLS 1.3, ermöglicht das Herunterladen nur geänderter Daten, kann Daten von Streaming-Servern speichern, verarbeitet internationalisierte Domainnamen korrekt und kann heruntergeladene Inhalte transkodieren. Wget2 ist unter der GPLv3+-Lizenz lizenziert, die Bibliothek unter der LGPLv3+-Lizenz.
Die neue Version behebt zwei Sicherheitslücken:
- CVE-2025-69194 – Fehlende Validierung von Dateipfaden bei der Verarbeitung von Inhalten im Metalink-Format, das zur Beschreibung von Download-Links verwendet wird. Verwendung der Sequenz „../“ in Dateipfaden innerhalb eines Blocks Ein Angreifer kann beliebige Dateien außerhalb des Basisverzeichnisses, in das sie hochgeladen wurden, erstellen, löschen oder überschreiben. Beispielsweise könnte ein Angreifer den Inhalt von ~/.ssh/authorized_keys oder ~/.bashrc überschreiben und seinen Code auf dem System ausführen.
- CVE-2025-69195 – Ein Pufferüberlauf im Code zur Dateinamenbereinigung der Funktion `get_local_filename_real()` kann potenziell zur Ausführung von Schadcode führen, wenn speziell präparierte URLs auf geladenen Seiten oder Weiterleitungen verarbeitet werden. Das Problem tritt auf, wenn die Option `--restrict-file-names=windows|unix|ascii` aktiviert ist, und wird durch die Zuweisung eines festen 1024-Byte-Puffers verursacht, ohne die tatsächliche Größe der zu schreibenden Daten zu überprüfen.
Zu den Änderungen, die nicht die Sicherheit betreffen, gehören die Hinzufügung der Option "--show-progress" zur Anzeige des Downloadfortschritts, die Verwendung der lokalen Zeit bei Angabe der Option "--no-use-server-timestamps", die Unterstützung des Präfixes 'no_' in Konfigurationsparametern und die Verwendung von libnghttp2 für HTTP/2-Tests.
Source: opennet.ru
