A CPython keretében szállított, tömörített adatok kicsomagolására szolgáló osztályokban lzma, bz2 és gzip formátumokban (lzma.LZMADecompressor, bz2.BZ2Decompressor és gzip.GzipFile) sebezhetőséget azonosítottak (CVE-2026-6100), amely a memória felszabadítása után történő hivatkozáshoz vezet. A probléma kritikus veszélyességi szintet kapott (9.1 a 10-ből) — a sebezhetőség sikeres kihasználása esetén információszivárgáshoz vagy a támadó kódjának végrehajtásához vezethet a kifejezetten megformázott adatok kicsomagolásakor. A javítás jelenleg patch formájában érhető el.
A probléma a memóriaallokációs művelet befejezése után jelentkezik, hiba fellépése következtében, amely memóriahiány miatt következik be (a sebezhetőség sikeres kihasználásához a támadónak olyan körülményeket kell létrehoznia, hogy a folyamat rendelkezésre álló memóriája kimerüljön). A már felszabadított memória elérési problémája azokban az alkalmazásokban fordul elő, amelyek újra felhasználják az objektum példányát a hiba visszatérése után a kicsomagolási folyamat során. Azok az alkalmazások, amelyek minden híváskor új példányt hoznak létre, nem érzékenyek a sebezhetőségre.
Forrás: opennet.ru
