{"id":153405,"date":"2026-01-05T17:12:15","date_gmt":"2026-01-05T15:12:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-gnu-wget2-2-2-1-ustranena-uyazvimost-dopuskayushhaya-perezapis-proizvolnyh-fajlov"},"modified":"2026-01-05T17:12:15","modified_gmt":"2026-01-05T15:12:15","slug":"v-gnu-wget2-2-2-1-ustranena-uyazvimost-dopuskayushhaya-perezapis-proizvolnyh-fajlov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-gnu-wget2-2-2-1-ustranena-uyazvimost-dopuskayushhaya-perezapis-proizvolnyh-fajlov","title":{"rendered":"In GNU Wget2 2.2.1 wurde eine Schwachstelle behoben, die das \u00dcberschreiben beliebiger Dateien erm\u00f6glichte.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Version 2.2.1 des GNU Wget2-Projekts ist nun verf\u00fcgbar. Diese vollst\u00e4ndig \u00fcberarbeitete Version des Programms zur automatisierten, rekursiven Inhaltsabholung bietet eine Vielzahl zus\u00e4tzlicher Optionen, unterst\u00fctzt den Mehrfach-Thread-Download und erm\u00f6glicht den Zugriff auf Funktionen \u00fcber die Bibliothek libwget. Sie unterst\u00fctzt die Protokolle HTTP\/2 und TLS 1.3, erm\u00f6glicht das Herunterladen nur ge\u00e4nderter Daten, kann Daten von Streaming-Servern speichern, verarbeitet internationalisierte Domainnamen korrekt und kann heruntergeladene Inhalte umkodieren. Das wget2-Tool wird unter der Lizenz GPLv3+ bereitgestellt, die Bibliothek unter LGPLv3+. <\/p>\n
In der neuen Version wurden zwei Sicherheitsanf\u00e4lligkeiten behoben: <\/p>\n
\n
CVE-2025-69194 \u2014 fehlende angemessene Validierung von Dateipfaden bei der Verarbeitung von Metalink-Inhalten, die zur Beschreibung von Links zu herunterladbaren Dateien verwendet werden. Durch die Verwendung der Sequenz \u201e..\/\u201c in Dateipfaden innerhalb des Blocks kann ein Angreifer das Erstellen, L\u00f6schen oder \u00dcberschreiben beliebiger Dateien au\u00dferhalb des Basisverzeichnisses, in das heruntergeladen wird, erreichen. Zum Beispiel kann ein Angreifer den Inhalt von ~\/ .ssh\/authorized_keys oder ~\/ .bashrc \u00fcberschreiben und die Ausf\u00fchrung seines Codes im System erreichen.\n
CVE-2025-69195 \u2014 Puffer\u00fcberlauf im Code zum Bereinigen von Dateinamen in der Funktion get_local_filename_real(), der potenziell zur Ausf\u00fchrung von Code beim Verarbeiten von speziell gestalteten URLs auf heruntergeladenen Seiten oder beim Bearbeiten von Weiterleitungen f\u00fchren kann. Das Problem tritt auf, wenn die Option \u201e\u2014restrict-file-names=windows|unix|ascii\u201c aktiviert ist und wird durch die Zuweisung eines festen 1024-Byte-Puffers ohne \u00dcberpr\u00fcfung der tats\u00e4chlichen Gr\u00f6\u00dfe der geschriebenen Daten verursacht. <\/ul>\n
Unter den \u00c4nderungen, die nicht sicherheitsrelevant sind, kann die Hinzuf\u00fcgung der Option «—show-progress» zur Anzeige des Ladefortschritts, die Verwendung der lokalen Zeit bei der Angabe der Option «—no-use-server-timestamps», die Unterst\u00fctzung des Pr\u00e4fixes ‘no_’ in den Konfigurationseinstellungen und die Verwendung von libnghttp2 f\u00fcr HTTP\/2-Tests hervorgehoben werden. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"