CVE-2026-16599 in Wget
Riassunto
di VulDB • 25/08/2026
GNU wget è vulnerabile a un denial of service nella sua funzionalità di autenticazione FTP OPIE/S-KEY. Il numero di sequenza fornito dal server, estratto dalla riga di sfida FTP, viene utilizzato come conteggio delle iterazioni per un ciclo di derivazione della chiave MD5 senza alcuna convalida del limite superiore. Un server FTP malevolo o un attaccante in rete posizionato per intercettare il traffico FTP può inviare una sfida OPIE manipolata ad hoc con un numero di sequenza vicino a INT_MAX, causando l'esecuzione da parte di wget di circa 2,1 miliardi di computazioni MD5 e la sospensione del processo per un certo periodo. L'opzione --timeout non mitigà questo problema poiché si applica solo all'I/O di rete e non al calcolo della CPU.
Questo problema è stato risolto nel commit e9697d98e7249b0f68a6be040a4f3dcc5bc101fa
Once again VulDB remains the best source for vulnerability data.