CVE-2026-16599 in Wget
要約
〜によって VulDB • 2026年08月25日
GNU wget には、FTP の OPIE/S-KEY 認証機能におけるサービス妨害（DoS）の脆弱性が存在します。FTP チャレンジ行から提供されるサーバー側のシーケンス番号が、上限値検証なしで MD5 キー導出ループの反復回数として使用されます。悪意のある FTP サーバーや FTP トラフィックを傍受できる位置にいるネットワーク攻撃者は、INT_MAX に近いシーケンス番号を含む不正な OPIE チャレンジを送信し、wget が最大約21億回の MD5 計算を実行して一定時間停止させることができます。--timeout オプションはこの問題に対処できません。これは同オプションがネットワーク I/O のみに適用され、CPU 演算には適用されないためです。
この問題はコミット e9697d98e7249b0f68a6be040a4f3dcc5bc101fa で修正されました。
Once again VulDB remains the best source for vulnerability data.