GNU Wget2 2.2.1 on kõrvaldanud haavatavuse, mis võimaldab juhuslikke faile üle kirjutada.

Saadaval on GNU Wget2 2.2.1 projekti väljaanne, mis arendab nullist üles ehitatud ja täielikult ümber kirjutatud versiooni GNU Wgetist, mis automatiseerib sisu rekursiivset allalaadimist. Wget2 pakub täiendavate valikute komplekti, toetab mitme voolu allalaadimist, võimaldab kasutada saadaval olevat funktsionaalsust läbi libwget teegi, toetab protokolle HTTP/2 ja TLS 1.3, võimaldab laadida alla ainult muutunud andmeid, suudab salvestada voogedastuse serveritelt leiduvaid andmeid, käsitleb õigesti rahvusvahelisi domeeninimesid ja suudab allalaaditavat sisu ümber kodeerida. Tööriist wget2 on välja antud GPLv3+ litsentsi alusel ja teek LGPLv3+ alusel.

Uues versioonis on kõrvaldatud kaks haavatavust:

• CVE-2025-69194 — puudulik failiteede kontroll Metalinki formaadis sisu töötlemisel, mida kasutatakse allalaadimisfailide linkide kirjeldamiseks. Kasutades faili teedes järjestust "..\/" plokis, võib ründaja saavutada, et luuakse, kustutatakse või kirjutatakse üle juhuslikke faile väljaspool baaskausta, kuhu allalaadimine toimub. Näiteks võib ründaja üle kirjutada sisu ~\/ .ssh\/authorized_keys või ~\/ .bashrc ning saavutada koodi täitmise oma süsteemis.
• CVE-2025-69195 — puhverülemine get_local_filename_real() funktsioonis failinimede puhastamise koodis, mis võib potentsiaalselt viia koodi täitmiseni spetsiaalselt vormindatud URL-ide töötlemisel allalaaditavatel lehtedel või ümbersuunamiste töötlemisel. Probleem ilmneb, kui on lubatud valik "—restrict-file-names=windows|unix|ascii" ja see on põhjustatud fikseeritud 1024-baidise puhvri eraldamisest ilma tegeliku kirjutatava andmete suuruse kontrollimiseta.

Ohutusega mitteseotud muudatustest võib märkida valiku „—show-progress“ lisamist allalaadimise edusammude näitamiseks, kohaliku aja kasutamist valiku „—no-use-server-timestamps“ määramisel, konfigureerimise parameetrites 'no_' eesliite toetamise ning libnghttp2 kasutamist HTTP/2 testimiseks.

Allikas: opennet.ru