Уязвимости Wget: риски RCE и DoS в Ubuntu (USN-8543-1)

Утилита Wget, широко используемая системными администраторами для загрузки файлов через протоколы HTTP, HTTPS и FTP, содержит ряд критических уязвимостей. Обнаруженные ошибки в обработке URL, заголовков и метаданных могут привести к выполнению произвольного кода, состоянию отказа в обслуживании (DoS) или перенаправлению пользователя на вредоносные хосты. Данный материал описывает характер угроз и порядок действий по защите систем на базе Ubuntu.

Классификация и характер обнаруженных уязвимостей

Проблемы в коде Wget затрагивают различные механизмы обработки сетевых данных. В зависимости от типа ошибки, последствия могут варьироваться от нарушения логики работы до полного захвата контроля над системой.

Манипуляция URL и перенаправление на сторонние хосты

Одна из уязвимостей (CVE-2024-38428) связана с некорректной обработкой точки с запятой (semicolon) в компоненте userinfo URL-адреса. Это позволяет злоумышленнику удаленно обмануть пользователя или автоматизированный скрипт, заставив программу установить соединение с нежелательным хостом вместо целевого. Данная проблема актуальна только для пользователей Ubuntu 14.04 LTS.

Отказ в обслуживании (DoS) через Metalink и HTML-атрибуты

Несколько уязвимостей позволяют вызвать отказ в обслуживании:

• CVE-2026-58469: Некорректная обработка документов Metalink, содержащих URL, состоящий только из пробелов. Это может привести к сбоям в работе процесса загрузки.
• CVE-2026-58471: Ошибки при конвертации кодировок символов в именах файлов, полученных от сервера.
• CVE-2026-58472: Неправильная обработка HTML-атрибутов, требующих кодирования сущностей (entity encoding).

Данные ошибки затрагивают широкий спектр версий: Ubuntu 18.04 LTS, 20.04 LTS, 22.04 LTS, 24.04 LTS и 26.04 LTS.

Переполнение целого числа и десинхронизация загрузки

Уязвимость CVE-2026-58470 связана с некорректной обработкой значений заголовка Content-Range. Это приводит к переполнению целого числа (integer overflow), что может вызвать десинхронизацию процесса загрузки данных, нарушая целостность скачиваемых файлов.

Риск выполнения произвольного кода (RCE)

Наиболее опасными являются уязвимости CVE-2026-58471 и CVE-2026-58472. Из-за ошибок в обработке кодировок имен файлов и HTML-сущностей злоумышленник может добиться выполнения произвольного кода в контексте пользователя, запустившего Wget. Это создает прямой риск компрометации сервера или рабочей станции.

Анализ рисков для инфраструктуры

Для оценки критичности необходимо понимать, как именно используется Wget в вашей среде. Основные векторы атаки:

• Автоматизированные скрипты: Если ваши cron-задачи или CI/CD пайплайны используют Wget для скачивания обновлений или артефактов с внешних ресурсов, риск выполнения кода крайне высок.
• Пользовательские действия: Администраторы, использующие Wget для ручной загрузки файлов из подозрительных источников, могут стать жертвами атак типа «перенаправление на вредоносный хост».
• Серверные процессы: При использовании Wget в составе веб-приложений или систем мониторинга, которые обрабатывают ответы от внешних серверов, существует риск DoS-атак.

Примечание: Если ваш сервер работает под управлением Ubuntu 18.04–26.04 LTS, риск выполнения произвольного кода через обработку имен файлов является приоритетным для устранения.

Инструкция по проверке и обновлению системы

Для устранения уязвимостей необходимо обновить пакет wget до актуальной версии, в которой исправлены указанные ошибки. В дистрибутивах Ubuntu исправления поставляются через стандартные репозитории безопасности.

Проверка текущей версии

Для определения установленной версии используйте команду:

wget --version

Сравните полученный вывод с версиями, выпущенными после даты публикации исправлений (июль 2026 года).

Процесс обновления

Для применения исправлений выполните стандартное обновление системных пакетов. Внимание: Перед обновлением критически важных систем рекомендуется создать резервную копию (snapshot) системы.

sudo apt update
sudo apt upgrade wget

После завершения процесса рекомендуется перезапустить сервисы, которые могут использовать Wget, или убедиться, что новые процессы запускаются с обновленным бинарным файлом.

Ограничения и важные замечания

Необходимо учитывать следующие моменты:

• Версии ОС: Уязвимость CVE-2024-38428 специфична только для Ubuntu 14.04 LTS. Остальные уязвимости затрагивают современные версии (18.04–26.04).
• Метод исправления: Стандартное обновление пакетов через менеджер пакетов является рекомендуемым способом. Использование сторонних сборок Wget может не содержать необходимых патчей безопасности.
• Сценарии использования: Если Wget используется исключительно в закрытых сетях без доступа к внешним URL, риск снижается, но не исчезает полностью (возможна атака через внутренние ресурсы).

Итог

Обнаруженные уязвимости в Wget представляют серьезную угрозу, особенно в сценариях, где утилита обрабатывает данные от внешних (недоверенных) серверов. Администраторам рекомендуется в кратчайшие сроки провести аудит используемых версий Ubuntu и выполнить обновление пакета wget до актуальных версий, доступных в репозиториях безопасности.