GNU Wget2 2.2.1 je teraz k dispozícii. Predstavuje kompletne prepísanú a redizajnovanú verziu programu GNU Wget pre automatizované rekurzívne sťahovanie obsahu. Wget2 ponúka celý rad ďalších možností, podporuje viacvláknové sťahovanie, umožňuje používanie dostupných funkcií prostredníctvom knižnice libwget, podporuje protokoly HTTP/2 a TLS 1.3, umožňuje sťahovanie iba zmenených údajov, dokáže ukladať údaje zo streamovacích serverov, správne spracováva internacionalizované názvy domén a dokáže prekódovať stiahnutý obsah. Wget2 je licencovaný pod licenciou GPLv3+ a knižnica je licencovaná pod licenciou LGPLv3+.
Nová verzia opravuje dve zraniteľnosti:
- CVE-2025-69194 – Chýbajúce správne overenie cesty k súboru pri spracovaní obsahu vo formáte Metalink, ktorý sa používa na popis odkazov na stiahnutie. Použitie sekvencie „../“ v cestách k súborom v rámci bloku , útočník môže vytvoriť, vymazať alebo prepísať ľubovoľné súbory mimo základného adresára, do ktorého sú nahrané. Napríklad útočník by mohol prepísať obsah ~/.ssh/authorized_keys alebo ~/.bashrc a spustiť svoj kód v systéme.
- CVE-2025-69195 – Pretečenie vyrovnávacej pamäte v kóde na čistenie názvov súborov vo funkcii get_local_filename_real() by mohlo viesť k spusteniu kódu pri spracovaní špeciálne vytvorených adries URL na načítaných stránkach alebo pri spracovaní presmerovaní. K problému dochádza, keď je povolená možnosť „--restrict-file-names=windows|unix|ascii“ a je spôsobený alokáciou pevnej vyrovnávacej pamäte s veľkosťou 1024 bajtov bez kontroly skutočnej veľkosti zapisovaných údajov.
Medzi zmeny, ktoré nesúvisia s bezpečnosťou, patrí pridanie možnosti „--show-progress“ na indikáciu priebehu sťahovania, použitie lokálneho času pri zadávaní možnosti „--no-use-server-timestamps“, podpora pre predponu „no_“ v konfiguračných parametroch a použitie knižnice libnghttp2 na testovanie HTTP/2.
Zdroj: opennet.ru
