Nelle classi di decompressione dei dati compressi fornite con CPython nei formati lzma, bz2 e gzip (lzma.LZMADecompressor, bz2.BZ2Decompressor e gzip.GzipFile) è stata identificata una vulnerabilità (CVE-2026-6100) che porta a un accesso alla memoria dopo che essa è stata liberata. Il problema è stato assegnato un livello critico di gravità (9.1 su 10) — in caso di sfruttamento riuscito, la vulnerabilità può portare a una fuga di informazioni dalla memoria del processo o all'esecuzione di codice da parte dell'attaccante durante la decompressione di dati appositamente formattati. Al momento è disponibile una correzione sotto forma di patch.
Il problema si manifesta dopo il termine dell'operazione di allocazione della memoria a causa di un errore che si verifica in caso di esaurimento della memoria (per un riuscito sfruttamento della vulnerabilità, l'attaccante deve creare condizioni di esaurimento della memoria disponibile per il processo). L'accesso alla memoria già liberata si verifica nelle applicazioni che riutilizzano un'istanza dell'oggetto dopo che si è verificato un errore durante la decompressione. Le applicazioni che creano una nuova istanza dell'oggetto a ogni chiamata non sono vulnerabili.
Fonte: opennet.ru
