{"id":153405,"date":"2026-01-05T17:12:15","date_gmt":"2026-01-05T15:12:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-gnu-wget2-2-2-1-ustranena-uyazvimost-dopuskayushhaya-perezapis-proizvolnyh-fajlov"},"modified":"2026-01-05T17:12:15","modified_gmt":"2026-01-05T15:12:15","slug":"v-gnu-wget2-2-2-1-ustranena-uyazvimost-dopuskayushhaya-perezapis-proizvolnyh-fajlov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/v-gnu-wget2-2-2-1-ustranena-uyazvimost-dopuskayushhaya-perezapis-proizvolnyh-fajlov","title":{"rendered":"In GNU Wget2 2.2.1 wurde eine Schwachstelle behoben, die das \u00dcberschreiben beliebiger Dateien zul\u00e4sst.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ver\u00f6ffentlichung des GNU Wget2 Projekts 2.2.1 ist verf\u00fcgbar, das eine von Grund auf neu geschriebene und vollst\u00e4ndig \u00fcberarbeitete Version des Programms zur Automatisierung des rekursiven Downloads von Inhalten GNU Wget darstellt. Wget2 bietet eine Reihe zus\u00e4tzlicher Optionen, unterst\u00fctzt das Herunterladen in mehreren Streams, erm\u00f6glicht die Nutzung der verf\u00fcgbaren Funktionalit\u00e4t \u00fcber die Bibliothek libwget, unterst\u00fctzt die Protokolle HTTP\/2 und TLS 1.3, erm\u00f6glicht das Herunterladen nur von ge\u00e4nderten Daten, kann Daten von Streaming-Servern speichern, verarbeitet internationalisierte Domainnamen korrekt und kann die heruntergeladenen Inhalte umkodieren. Das wget2-Tool wird unter der GPLv3+ Lizenz angeboten, w\u00e4hrend die Bibliothek unter der LGPLv3 Lizenz bereitgestellt wird. <\/p>\n
In der neuen Version wurden zwei Sicherheitsanf\u00e4lligkeiten behoben: <\/p>\n
\n
CVE-2025-69194 \u2014 mangelnde \u00dcberpr\u00fcfung von Dateipfaden bei der Verarbeitung von Metalink-Inhalten, die zur Beschreibung von Links zu herunterladenden Dateien verwendet werden. Durch die Verwendung der Sequenz \u201e..\/\u201c in Dateipfaden innerhalb des Blocks kann ein Angreifer die Erstellung, L\u00f6schung oder \u00dcberschreibung beliebiger Dateien au\u00dferhalb des Basisverzeichnisses erreichen, in das heruntergeladen wird. Beispielsweise kann ein Angreifer den Inhalt von ~\/ .ssh\/authorized_keys oder ~\/ .bashrc \u00fcberschreiben und die Ausf\u00fchrung seinen Codes im System erreichen.\n
CVE-2025-69195 \u2014 Buffer\u00fcberlauf im Code zur Bereinigung von Dateinamen in der Funktion get_local_filename_real(), der dazu f\u00fchren kann, dass bei der Verarbeitung speziell gestalteter URLs auf hochgeladenen Seiten oder bei der Handhabung von Weiterleitungen Code ausgef\u00fchrt wird. Das Problem tritt auf, wenn die Option \u201e\u2014restrict-file-names=windows|unix|ascii\u201c aktiviert ist und wird durch die Zuweisung eines festen 1024-Byte-Puffers ohne \u00dcberpr\u00fcfung der tats\u00e4chlichen Gr\u00f6\u00dfe der zu schreibenden Daten verursacht. <\/ul>\n
Zu den nicht sicherheitsrelevanten \u00c4nderungen z\u00e4hlt die Hinzuf\u00fcgung der Option \u201e\u2014show-progress\u201c zur Anzeige des Download-Fortschritts, die Verwendung der lokalen Zeit bei der Angabe der Option \u201e\u2014no-use-server-timestamps\u201c, die Unterst\u00fctzung des Pr\u00e4fixes \u201ano_\u2018 in den Konfigurationseinstellungen und der Einsatz von libnghttp2 zum Testen von HTTP\/2. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"