Foi identificada uma vulnerabilidade (CVE-2026-6100) nas classes de descompressão de dados comprimidos do CPython nos formatos lzma, bz2 e gzip (lzma.LZMADecompressor, bz2.BZ2Decompressor e gzip.GzipFile), que leva a um acesso à memória após a liberação. O problema recebeu um nível crítico de gravidade (9.1 de 10) — em caso de exploração bem-sucedida, a vulnerabilidade pode resultar em vazamento de informações da memória do processo ou na execução de código malicioso durante a descompressão de dados especialmente formatados. A correção está disponível no formato de um patch.
O problema se manifesta após a conclusão da operação de alocação de memória com um erro que ocorre devido à falta de memória (para que a exploração da vulnerabilidade seja bem-sucedida, o atacante deve criar condições que esgotem a memória disponível para o processo). O acesso à memória já liberada ocorre em aplicações que reutilizam uma instância de objeto após a devolução de um erro durante o processo de descompressão. Aplicações que criam uma nova instância do objeto a cada chamada não estão vulneráveis.
Fonte: opennet.ru
