Haavatavus Python'i teekides lzma, bz2 ja gzip, mis võib potentsiaalselt põhjustada koodi täitmist

CPython'i tarnitud tihendatud andmete dekompressimise klassides lzma, bz2 ja gzip (lzma.LZMADecompressor, bz2.BZ2Decompressor ja gzip.GzipFile) on avastatud haavatavus (CVE-2026-6100), mis viib mällu juurdepääsuni pärast selle vabastamist. Probleemile on antud kriitilise tõsiduse tase (9.1 kümnest) — kui haavatavust suudetakse ära kasutada, võib see viia teabe lekkimiseni protsessi mälust või ründaja koodi täitmisele spetsiaalselt vormindatud andmete dekompressimise ajal. Parandus on hetkel saadaval plaastri kujul.

Probleem ilmneb pärast mälu eraldamise operatsiooni lõppemist veaga, mis tekib mälu puudumise tõttu (haavatavuse edukaks ärakasutamiseks peab ründaja looma tingimused protsessi mälust ammendamiseks). Juhtimine juba vabastatud mällu toimub rakendustes, mis kasutavad objekti eksemplari uuesti pärast veateadet dekompressimise protsessis. Rakendused, mis iga kutsumise korral loovad uue objekti eksemplari, ei ole haavatavad.

Allikas: opennet.ru