CVE-2026-48959 in IO::Uncompress::Unzip
요약
\~에 의해 VulDB • 2026. 05. 28.
Perl용 IO::Uncompress::Unzip 2.220 미만 버전은 fastForward() 내의 바이트 단위 읽기 루프를 통해 CPU 고갈(CPU exhaustion)을 유발할 수 있습니다.
fastForward() 함수는 오프셋의 자릿수(1~19)를 나타내는 길이 $offset을 실제 오프셋 값 $offset 자체가 아닌 청크 크기 $c와 비교하므로, $c는 반복마다 16 KiB에서 1~19 바이트로 축소됩니다.
공격자가 제공한 zip 파일에서 IO::Uncompress::Unzip->new($zip, Name => $target)를 사용하여 이름이 지정된 엔트리를 추출하면, 해당 엔트리의 압축된 크기에 비례하여 바이트 단위 읽기 루프가 실행되며, 이는 비-Zip64 형식의 최대 용량인 4 GiB까지 확장될 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.