PT-2025-35145 · Xz+3 · Xz+3
Gregorybuligin
·
Publicado
2025-08-28
·
Atualizado
2026-02-10
·
CVE-2025-58058
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L |
Nome do Software Vulnerável e Versões Afetadas
Versões do xz anteriores a 0.5.14
Descrição
O pacote xz contém uma falha na qual dados podem ser prefixados a um fluxo de bytes codificado em LZMA sem detecção durante a leitura do cabeçalho. Isso pode levar ao consumo excessivo de memória devido à alocação de um buffer de decodificação completo. O cabeçalho LZMA não possui um número mágico ou checksum para identificar essa questão conforme a especificação. Embora o código eventualmente detecte o problema durante a leitura do fluxo, a memória já foi alocada nesse ponto. Este problema afeta softwares que utilizam
lzma.NewReader ou lzma.ReaderConfig.NewReader.Recomendações
Atualize para a versão 0.5.14 ou posterior do xz para corrigir este problema.
Exploit
Correção
DoS
Allocation of Resources Without Limits
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Debian
Red Os
Suse
Xz