Die Version 2.2.1 des GNU Wget2-Projekts ist nun verfügbar. Diese vollständig überarbeitete Version des Programms zur automatisierten, rekursiven Inhaltsabholung bietet eine Vielzahl zusätzlicher Optionen, unterstützt den Mehrfach-Thread-Download und ermöglicht den Zugriff auf Funktionen über die Bibliothek libwget. Sie unterstützt die Protokolle HTTP/2 und TLS 1.3, ermöglicht das Herunterladen nur geänderter Daten, kann Daten von Streaming-Servern speichern, verarbeitet internationalisierte Domainnamen korrekt und kann heruntergeladene Inhalte umkodieren. Das wget2-Tool wird unter der Lizenz GPLv3+ bereitgestellt, die Bibliothek unter LGPLv3+.
In der neuen Version wurden zwei Sicherheitsanfälligkeiten behoben:
- CVE-2025-69194 — fehlende angemessene Überprüfung von Dateipfaden bei der Verarbeitung von Metalink-Inhalten, die zur Beschreibung von Links zu herunterladenden Dateien verwendet werden. Indem ein Angreifer die Sequenz „../“ in Dateipfaden innerhalb des -Blocks verwendet, kann er die Erstellung, Bereinigung oder Überschreibung willkürlicher Dateien außerhalb des Basisverzeichnisses, in das heruntergeladen wird, erreichen. Zum Beispiel kann ein Angreifer den Inhalt von ~/.ssh/authorized_keys oder ~/.bashrc überschreiben und seinen Code im System ausführen.
- CVE-2025-69195 — Pufferüberlauf im Code zur Bereinigung von Dateinamen in der Funktion get_local_filename_real(), der potenziell zur Ausführung von Code führen kann, wenn speziell formatierte URLs auf heruntergeladenen Seiten oder bei der Verarbeitung von Weiterleitungen verarbeitet werden. Das Problem tritt auf, wenn die Option „—restrict-file-names=windows|unix|ascii“ aktiviert ist und wird durch die Zuweisung eines festen 1024-Byte-Puffers ohne Überprüfung der tatsächlichen Größe der zu schreibenden Daten verursacht.
Zu den nicht sicherheitsrelevanten Änderungen gehört die Einführung der Option „—show-progress“ zur Anzeige des Downloadfortschritts, die Verwendung der lokalen Zeit mit der Option „—no-use-server-timestamps“, die Unterstützung des Präfixes ‘no_’ in den Konfigurationsparametern und die Implementierung von libnghttp2 zum Testen von HTTP/2.
Quelle: opennet.ru
