{"id":168710,"date":"2026-04-14T17:12:53","date_gmt":"2026-04-14T15:12:53","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-python-bibliotekah-lzma-bz2-i-gzip-potenczialno-privodyashhaya-k-vypolneniyu-koda"},"modified":"2026-04-14T17:12:53","modified_gmt":"2026-04-14T15:12:53","slug":"uyazvimost-v-python-bibliotekah-lzma-bz2-i-gzip-potenczialno-privodyashhaya-k-vypolneniyu-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-python-bibliotekah-lzma-bz2-i-gzip-potenczialno-privodyashhaya-k-vypolneniyu-koda","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans les biblioth\u00e8ques Python lzma, bz2 et gzip, pouvant potentiellement conduire \u00e0 une ex\u00e9cution de code","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Dans les classes fournies avec CPython pour le d\u00e9ballage des donn\u00e9es compress\u00e9es aux formats lzma, bz2 et gzip (lzma.LZMADecompressor, bz2.BZ2Decompressor et gzip.GzipFile), une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9couverte (CVE-2026-6100) entra\u00eenant un acc\u00e8s \u00e0 la m\u00e9moire apr\u00e8s sa lib\u00e9ration. Le probl\u00e8me a \u00e9t\u00e9 class\u00e9 comme critique (9,1 sur 10) \u2014 en cas d'exploitation r\u00e9ussie, cette vuln\u00e9rabilit\u00e9 pourrait permettre une fuite d'informations depuis la m\u00e9moire du processus ou l'ex\u00e9cution de code malveillant lors du d\u00e9ballage de donn\u00e9es sp\u00e9cialement con\u00e7ues. Un correctif est actuellement disponible sous forme de patch. <\/p>\n
Le probl\u00e8me se manifeste apr\u00e8s l'ach\u00e8vement d'une op\u00e9ration d'allocation de m\u00e9moire \u00e9chou\u00e9e en raison d'un manque de m\u00e9moire (pour exploiter avec succ\u00e8s la vuln\u00e9rabilit\u00e9, l'attaquant doit cr\u00e9er les conditions d'\u00e9puisement de la m\u00e9moire disponible pour le processus). Un acc\u00e8s \u00e0 la m\u00e9moire d\u00e9j\u00e0 lib\u00e9r\u00e9e se produit dans les applications qui r\u00e9utilisent un objet apr\u00e8s le retour d'une erreur lors du processus de d\u00e9compression. Les applications qui cr\u00e9ent un nouvel objet \u00e0 chaque appel ne sont pas vuln\u00e9rables. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"