Debian, 7 Kasım’da zlib sıkıştırma kütüphanesindeki üç güvenlik açığını kapatan DSA-6613-1 numaralı duyuruyu yayımladı. zlib, sıkıştırılmış veriyi okuyup yazmak için yaygın kullanılan açık kaynak bir kütüphane. Debian’a göre açıklar, özel hazırlanmış bir girdi işlendiğinde hizmet kesintisine, olası durumlarda da kod yürütülmesine yol açabilir.
Ne oldu
Duyuruda üç açık var. CVSS puanları, açıkları kayda geçiren kuruluşların verdiği puanlardır:
- CVE-2026-76844 (CVSS 4.0: 8.3): gzip dosyasına yazan gz_write() işlevinde heap taşması. Alttaki yazma işlemi başarısız olduğunda işlev, giriş işaretçisini sıfırlamadan dönüyor. Sonraki bir yazma çağrısı bu eski işaretçiden konum hesaplayıp ayrılan bellek alanının dışına yazabiliyor.
- CVE-2026-85091 (CVSS 4.0: 8.3): Engellemesiz (non-blocking) yazmada gz_vacate() işlevinde heap taşması. Yazma takıldıktan sonra gzprintf() ya da gzvprintf() çağrıldığında, denetlenmeyen bir bellek kopyası iç arabelleğin sınırını aşıyor.
- CVE-2026-27171 (CVSS 3.1: 2.9): crc32_combine64 ve crc32_combine_gen64 işlevlerinde, sonlanma koşulu olmayan bir döngünün yol açtığı aşırı işlemci tüketimi.
Debian’ın duyurusunda bu açıkların saldırılarda kullanıldığına dair bir bilgi yok.
Kimleri etkiler
Duyuru, Debian’ın kararlı sürümü Debian 13 (trixie) içindir. Debian’ın diğer sürümlerinin durumu için Debian güvenlik izleyicisindeki zlib sayfasına bakılmalı. İki heap taşması, zlib’in gzip dosya işlevlerinde (gzwrite, gzprintf gibi) bulunuyor. Bu işlevleri güvenilmeyen girdiyle kullanan uygulamalar risk altında. Kaynak kodda CVE-2026-76844 zlib 1.2.11 ile 1.3.2 arasındaki sürümleri, CVE-2026-85091 ise 1.3.1.2 ile 1.3.2 arasındaki sürümleri etkiliyor.
Üretici ne öneriyor
Debian, zlib paketlerinin güncellenmesini öneriyor:
- Debian 13 (trixie) için düzeltilmiş sürüm 1:1.3.dfsg+really1.3.1-1+deb13u1.
- Diğer sürümler için Debian güvenlik izleyicisindeki zlib sayfası takip edilmeli.
zlib geliştiricisi de 4 Kasım’da yayımladığı zlib 1.4 sürümünün notlarında CVE-2026-85091 düzeltmesine yer veriyor.
7 Tepe için anlamı
Debian ve Debian tabanlı sunucularda zlib paketi güncellenmeli. Güncellemeden sonra kütüphaneyi önceden yüklemiş çalışan hizmetler yeniden başlatılmalı. zlib’i kendi içine gömen uygulamalar paket güncellemesiyle düzelmez; bunlar için üreticinin güncellemesi ayrıca kontrol edilmeli. Linux sunucularınızın güncelleme planlaması için bize ulaşabilirsiniz.
