È disponibile il rilascio del progetto GNU Wget2 2.2.1, che sviluppa una versione completamente riscritta e rinnovata del programma per l'automazione del download ricorsivo dei contenuti di GNU Wget. Wget2 offre un insieme di opzioni aggiuntive, supporta il download multi-threaded, consente di utilizzare la funzionalità disponibile tramite la libreria libwget, supporta i protocolli HTTP/2 e TLS 1.3, permette di scaricare solo i dati modificati, può memorizzare dati da server di streaming, gestisce correttamente i nomi di dominio internazionalizzati e può ricodificare i contenuti scaricati. L'utilità wget2 è rilasciata sotto la licenza GPLv3+, mentre la libreria è sotto LGPLv3+.
Nella nuova versione sono state corrette due vulnerabilità:
- CVE-2025-69194 — assenza di un'adeguata verifica dei percorsi dei file durante l'elaborazione di contenuti in formato Metalink, utilizzato per descrivere i collegamenti ai file da scaricare. Utilizzando la sequenza «..\/» nei percorsi dei file all'interno di un blocco , un attaccante può ottenere la creazione, la pulizia o la riscrittura di file arbitrari al di fuori della directory di base in cui viene eseguito il download. Ad esempio, un attaccante potrebbe riscrivere il contenuto di ~/ .ssh/authorized_keys o ~/ .bashrc e ottenere l'esecuzione del proprio codice nel sistema.
- CVE-2025-69195 — overflow del buffer nel codice di pulizia dei nomi dei file nella funzione get_local_filename_real(), potenzialmente in grado di portare all'esecuzione di codice durante l'elaborazione di URL appositamente formattati su pagine caricate o durante l'elaborazione di reindirizzamenti. Il problema si manifesta quando è attivata l'opzione «—restrict-file-names=windows|unix|ascii» ed è causato da un'allocazione di un buffer fisso di 1024 byte senza controllare la dimensione reale dei dati scritti.
Tra le modifiche non correlate alla sicurezza, si segnala l'aggiunta dell'opzione «—show-progress» per indicare il progresso del download, l'uso dell'orario locale quando si specifica l'opzione «—no-use-server-timestamps», il supporto per il prefisso 'no_' nei parametri di configurazione e l'implementazione di libnghttp2 per testare HTTP/2.
Fonte: opennet.ru
