È disponibile la release del progetto GNU Wget2 2.2.1, che sviluppa una versione completamente riscritta e rielaborata del programma per l'automazione del download ricorsivo dei contenuti GNU Wget. Wget2 offre una serie di opzioni aggiuntive, supporta il download multi-thread, permette di utilizzare le funzionalità disponibili tramite la libreria libwget, supporta i protocolli HTTP/2 e TLS 1.3, consente di scaricare solo i dati modificati, può salvare i dati dai server di streaming, gestisce correttamente i nomi di dominio internazionalizzati e può ricodificare i contenuti scaricati. L'utilità wget2 è distribuita sotto la licenza GPLv3+, mentre la libreria è sotto LGPLv3+.
Nella nuova versione sono state risolte due vulnerabilità:
- CVE-2025-69194 — mancanza di un'adeguata verifica dei percorsi dei file durante l'elaborazione di contenuti in formato Metalink, utilizzato per descrivere i collegamenti ai file da scaricare. Utilizzando la sequenza «../» nei percorsi dei file all'interno del blocco , un attaccante può riuscire a creare, eliminare o sovrascrivere file arbitrari al di fuori della directory di base in cui avviene il download. Ad esempio, l'attaccante può sovrascrivere il contenuto di ~/.ssh/authorized_keys o ~/.bashrc e ottenere l'esecuzione del proprio codice nel sistema.
- CVE-2025-69195 — overflow del buffer nel codice di pulizia dei nomi dei file nella funzione get_local_filename_real(), potenzialmente in grado di portare all'esecuzione di codice durante l'elaborazione di URL appositamente formattati su pagine scaricate o durante la gestione dei reindirizzamenti. Il problema si manifesta quando è attivata l'opzione «—restrict-file-names=windows|unix|ascii» ed è causato dall'allocazione di un buffer fisso di 1024 byte senza controllare le dimensioni effettive dei dati scritti.
Tra le modifiche non relative alla sicurezza, si segnala l'aggiunta dell'opzione «—show-progress» per indicare il progresso del download, l'uso dell'ora locale con l'opzione «—no-use-server-timestamps», il supporto del prefisso ‘no_’ nei parametri di configurazione e l'utilizzo di libnghttp2 per il test di HTTP/2.
Fonte: opennet.ru
