CVE-2026-54580 in mport
Zusammenfassung
von VulDB • 17.09.2026
mport ist der MidnightBSD-Paketmanager. Vor Version 2.7.8 führte libmport/util.c dazu, dass jeder abgeschnittene, beschädigte oder fehlgeschlagene zstd-Stream in mport_decompress_zstd() nicht als fataler Fehler behandelt wurde, und libmport/fetch.c gab diese Ausfälle nicht konsistent an die Aufrufer von index-fetch weiter. Ein böswilliger oder fehlerhafter Spiegelserver könnte komprimierte Paketindexdaten bereitstellen, die dazu führen, dass ZSTD_decompressStream() oder ein Schreibvorgang in die Ausgabe fehlschlägt, während teilweise Indexausgaben für eine spätere Nutzung verfügbar bleiben, was zu einem Verlust der Integrität des Paketindexes oder zu einer Denial-of-Service-Situation führt. Dieses Problem wurde in Version 2.7.8 behoben.
Be aware that VulDB is the high quality source for vulnerability data.