De release van het GNU Wget2-project 2.2.1 is beschikbaar, een volledig herschreven en herwerkte versie van het programma voor het automatisch downloaden van inhoud op een recursieve manier via GNU Wget. Wget2 biedt een set extra opties, ondersteunt meerdere gelijktijdige downloads, maakt gebruik van beschikbare functionaliteit via de libwget-bibliotheek, ondersteunt de protocollen HTTP/2 en TLS 1.3, biedt de mogelijkheid om alleen gewijzigde gegevens te downloaden, kan gegevens van streamingservers opslaan, verwerkt internationale domeinnamen correct en kan gedownloade inhoud opnieuw coderen. De wget2-tool wordt geleverd onder de GPLv3+-licentie, terwijl de bibliotheek onder de LGPLv3-licentie valt.
In de nieuwe versie zijn twee kwetsbaarheden verholpen:
- CVE-2025-69194 ā een gebrek aan juiste controle van bestandsnamen bij het verwerken van inhoud in het Metalink-formaat, dat wordt gebruikt voor het beschrijven van links naar te downloaden bestanden. Door de sequentie '..' in bestandsnamen binnen een -blok te gebruiken, kan een aanvaller ervoor zorgen dat willekeurige bestanden buiten de basisdirectory waarin wordt gedownload, worden aangemaakt, gewist of overschreven. Bijvoorbeeld, een aanvaller kan de inhoud van ~/.ssh/authorized_keys of ~/.bashrc overschrijven en zijn code in het systeem laten uitvoeren.
- CVE-2025-69195 ā buffer overflow in de code voor het opschonen van bestandsnamen in de functie get_local_filename_real(), wat potentieel kan leiden tot code-uitvoering bij het verwerken van speciaal opgemaakte URL's op de te downloaden pagina's of bij het verwerken van omleidingen. Het probleem doet zich voor wanneer de optie ā--restrict-file-names=windows|unix|asciiā is ingeschakeld en is het gevolg van het toewijzen van een vaste buffer van 1024 bytes zonder te controleren op de werkelijke grootte van de te schrijven gegevens.
Van de niet-beveiligingsgerelateerde wijzigingen is het toevoegen van de optie ā--show-progressā voor het aangeven van de voortgang van de download het meest opvallend, evenals het gebruik van lokale tijd bij het opgeven van de optie ā--no-use-server-timestampsā, de ondersteuning van de prefix āno_ā in de configuratieparameters en het gebruik van libnghttp2 voor het testen van HTTP/2.
Bron: opennet.ru
