U isporučenim klasama za raspakiranje komprimiranih podataka u formatima lzma, bz2 i gzip (lzma.LZMADecompressor, bz2.BZ2Decompressor i gzip.GzipFile) otkrivena je ranjivost (CVE-2026-6100) koja može uzrokovati pristup oslobođenoj memoriji. Problemu je dodijeljena kritična razina opasnosti (9.1 od 10) — u slučaju uspješne eksploatacije ranjivost može dovesti do curenja informacija iz memorije procesa ili izvršavanja koda napadača prilikom raspakiravanja posebno konstruiranih podataka. Ispravak je za sada dostupan u obliku zakrpe.
Problem se manifestira nakon završetka operacije dodjele memorije greškom koja se javlja zbog nedostatka memorije (kako bi napadač uspješno iskoristio ranjivost, treba stvoriti uvjete koji bi iscrpili dostupnu memoriju procesu). Pristup već oslobođenoj memoriji javlja se u aplikacijama koje ponovo koriste instancu objekta nakon povratka greške tijekom procesa raspakiranja. Aplikacije koje pri svakom pozivu stvaraju novu instancu objekta nisu podložne ranjivosti.
Izvor: opennet.ru
