CVE-2026-16599

GNU wget, FTP OPIE/S-KEY kimlik doğrulama işlevselliğinde hizmet reddine (denial of service) karşı savunmasızdır. FTP challenge satırından gelen sunucu tarafından sağlanan sıra numarası, herhangi bir üst sınır doğrulaması olmaksızın bir MD5 anahtar türetme döngüsü için yineleme sayısı olarak kullanılır. Kötü niyetli bir FTP sunucusu veya FTP trafiğinile araya girecek konumdaki bir ağ saldırganı, INT_MAX değerine yakın bir sıra numarasına sahip özel hazırlanmış bir OPIE challenge göndererek wget'in yaklaşık 2,1 milyara kadar MD5 hesaplaması yapmasına ve bir süreliğine askıya alınmasına neden olabilir. --timeout seçeneği yalnızca ağ G/Ç işlemleri için geçerli olduğundan ve CPU hesaplamalarını kapsamadığından bu durumu hafifletmez. Bu sorun e9697d98e7249b0f68a6be040a4f3dcc5bc101fa commit'i ile düzeltilmiştir.