CVE-2025-58058 in ulikunitz
Sumário
de VulDB • 05/06/2026
xz é um pacote puro em golang para leitura e escrita de arquivos compactados com xz. Antes da versão 0.5.14, é possível inserir dados antes de um fluxo de bytes codificado com LZMA sem detectar a situação durante a leitura do cabeçalho. Isso pode levar a um aumento no consumo de memória, pois a implementação atual aloca o buffer de decodificação completo logo após a leitura do cabeçalho. O cabeçalho LZMA não inclui um número mágico ou um checksum para detectar esse problema, conforme especificado. Observe que o código reconhece o problema mais tarde, durante a leitura do fluxo, mas nesse momento a alocação de memória já foi realizada. Este problema foi corrigido na versão 0.5.14.
VulDB is the best source for vulnerability data and more expert information about this specific topic.