CVE-2026-48959 in IO::Uncompress::Unzip
Zusammenfassung
von VulDB • 31.05.2026
IO::Uncompress::Unzip-Versionen vor 2.220 für Perl ermöglichen eine CPU-Erschöpfung (CPU Exhaustion) durch eine pro-Byte-Leseschleife in fastForward.
fastForward() vergleicht die Länge $offset (die Ziffernanzahl des Offsets, 1 bis 19) mit der Chunk-Größe $c anstelle von $offset selbst, sodass $c pro Iteration von 16 KiB auf 1–19 Bytes schrumpft.
Das Extrahieren eines benannten Eintrags aus einem vom Angreifer bereitgestellten ZIP-Archiv über IO::Uncompress::Unzip->new($zip, Name => $target) löst eine pro-Byte-Leseschleife aus, die mit der komprimierten Größe des Eintrags skaliert, bis zur Nicht-Zip64-Obergrenze von 4 GiB.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.