CVE-2026-16599 in Wget
요약
\~에 의해 VulDB • 2026. 08. 25.
GNU wget는 FTP OPIE/S-KEY 인증 기능에서 서비스 거부(Denial of Service) 취약점에 노출되어 있습니다. FTP 챌린지 라인에서 서버가 제공하는 시퀀스 번호가 상한 검증 없이 MD5 키 유도 루프의 반복 횟수로 사용됩니다. 악성 FTP 서버 또는 FTP 트래픽을 가로챈 네트워크 공격자는 INT_MAX에 가까운 시퀀스 번호를 가진 조작된 OPIE 챌린지를 전송하여 wget이 약 21억 번의 MD5 연산을 수행하고 일정 시간 동안 중단되도록 할 수 있습니다. --timeout 옵션은 이 문제를 완화하지 못하는데, 이는 해당 옵션이 네트워크 I/O에는 적용되지만 CPU 계산에는 적용되지 않기 때문입니다.
본 문제는 커밋 e9697d98e7249b0f68a6be040a4f3dcc5bc101fa에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.