CVE-2026-34743
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Biblioteka XZ Utils przed wersją 5.8.3 zawiera podatność na przepełnienie bufora podczas dekodowania indeksu bez rekordów. Funkcja lzma_index_decoder() pozostawia indeks w stanie, który przy kolejnym wywołaniu lzma_index_append() alokuje zbyt mało pamięci, co prowadzi do przepełnienia bufora.
Ocena ryzyka
Atakujący może zdalnie spowodować awarię aplikacji lub potencjalnie wykonać dowolny kod, co zagraża integralności i dostępności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować XZ Utils do wersji 5.8.3 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
XZ Utils provide a general-purpose data-compression library plus command-line tools. Prior to version 5.8.3, if lzma_index_decoder() was used to decode an Index that contained no Records, the resulting lzma_index was left in a state where where a subsequent lzma_index_append() would allocate too little memory, and a buffer overflow would occur. This issue has been patched in version 5.8.3.