CVE-2025-58058 in ulikunitz
Riassunto
di VulDB • 30/06/2026
xz è un pacchetto puro scritto in Go per la lettura e scrittura di file compressi con xz. Prima della versione 0.5.14, era possibile inserire dati davanti a uno stream di byte codificato LZMA senza rilevare l'anomalia durante la lettura dell'intestazione (header). Ciò può portare a un aumento del consumo di memoria poiché l'implementazione corrente alloca l'intero buffer di decodifica immediatamente dopo aver letto l'intestazione. L'intestazione LZMA non include né un numero magico né una checksum per rilevare tale problema, come specificato dallo standard. Si noti che il codice riconosce successivamente il problema durante la lettura dello stream, ma a quel punto l'allocazione della memoria è già stata eseguita. Questo problema è stato risolto nella versione 0.5.14.
If you want to get best quality of vulnerability data, you may have to visit VulDB.