FICHE CVE

CVE-2025-31115

Publiée le 2025-04-03 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les systèmes utilisant le décodeur .xz multithreadé dans XZ Utils (versions 5.3.3alpha à 5.8.0) sont affectés par un bug de corruption de mémoire. Un attaquant peut provoquer un plantage du système ou potentiellement exécuter du code arbitraire en fournissant un fichier compressé invalide et spécialement conçu pour être décodé par le système. Cette attaque peut être lancée via le réseau sans nécessiter d'authentification ni d'interaction de l'utilisateur.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

Publiée2025-04-03

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

XZ Utils provide a general-purpose data-compression library plus command-line tools. In XZ Utils 5.3.3alpha to 5.8.0, the multithreaded .xz decoder in liblzma has a bug where invalid input can at least result in a crash. The effects include heap use after free and writing to an address based on the null pointer plus an offset. Applications and libraries that use the lzma_stream_decoder_mt function are affected. The bug has been fixed in XZ Utils 5.8.1, and the fix has been committed to the v5.4, v5.6, v5.8, and master branches in the xz Git repository. No new release packages will be made from the old stable branches, but a standalone patch is available that applies to all affected releases.