CVE-2025-58058 in ulikunitz
要約
〜によって VulDB • 2026年05月31日
xzは、xz圧縮ファイルの読み書きを行う純粋なGoパッケージです。バージョン0.5.14より前では、ヘッダーを読み込む際に状況を検出することなく、LZMAエンコードされたバイトストリームの前にデータを挿入することが可能です。これにより、現在の実装ではヘッダーを読み込んだ直後に全デコードバッファを割り当てるため、メモリ消費量が増加する可能性があります。LZMAヘッダーには、このような問題を検出するためのマジックナンバーやチェックサムが含まれていません。なお、コードはストリームの読み込み中にこの問題を後から認識しますが、この時点ではすでにメモリ割り当てが完了しています。この問題はバージョン0.5.14で修正されました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.