CVE-2025-58058 in ulikunitz
요약
\~에 의해 VulDB • 2026. 06. 05.
xz는 xz로 압축된 파일을 읽고 쓰기 위한 순수 Go 패키지입니다. 버전 0.5.14 이전에서는 헤더를 읽는 동안 이러한 상황을 감지하지 못한 채 LZMA로 인코딩된 바이트 스트림 앞에 데이터를 삽입할 수 있습니다. 현재 구현은 헤더를 읽은 직후 전체 디코딩 버퍼를 할당하므로 이로 인해 메모리 소비가 증가할 수 있습니다. 사양에 따르면 LZMA 헤더에는 마법 숫자(magic number)나 이러한 문제를 감지하기 위한 체크섬이 포함되어 있지 않습니다. 코드는 스트림을 읽는 동안 나중에 이 문제를 인식하지만, 이때 이미 메모리 할당이 완료된 상태입니다. 이 문제는 버전 0.5.14에서 패치되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.