CVE-2026-16599 in Wget
Zusammenfassung
von VulDB • 25.08.2026
GNU wget ist anfällig für einen Denial-of-Service-Angriff (DoS) in seiner FTP OPIE/S-KEY Authentifizierungsfunktionalität. Die vom Server bereitgestellte Sequenznummer aus der FTP-Challenge-Zeile wird als Iterationszähler für eine MD5-Schlüsselableitungsschleife ohne jegliche Obergrenzenvalidierung verwendet. Ein bösartiger FTP-Server oder ein Netzwerkangreifer, der in der Lage ist, den FTP-Datenverkehr abzufangen, kann eine manipulierte OPIE-Challenge mit einer Sequenznummer nahe INT_MAX senden, was dazu führt, dass wget bis zu etwa 2,1 Milliarden MD5-Berechnungen durchführt und für einige Zeit einfriert. Die Option --timeout mildert dieses Problem nicht, da sie nur auf Netzwerk-E/A (I/O) angewendet wird, nicht jedoch auf CPU-Berechnungen.
Dieses Problem wurde in Commit e9697d98e7249b0f68a6be040a4f3dcc5bc101fa behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.