CVE-2026-31970

HTSlib, biyoinformatik dosya formatlarını okumak ve yazmak için kullanılan bir kütüphanedir. GZI dosyaları, blok sıkıştırılmış GZIP [BGZF] dosyalarını indekslemek için kullanılır. GZI yükleme fonksiyonu olan `bgzf_index_load_hfile()` içerisinde, indeksi depolamak için eksik veya sıfır boyutlu bir tampon bellek ayrılmasına yol açan bir tamsayı taşması (integer overflow) tetiklenebiliyordu. Ardından bu tampon belleğe on altı adet sıfır bayt yazılır ve taşmanın sonucuna bağlı olarak dosyanın geri kalanı da tampon belleğe yüklenebilirdi. Fonksiyon verileri yüklemeye çalışırsa, beklenen kayıt sayısı okunamadığı için sonunda başarısız olur ve ardından taşmış yığın (heap) tamponunu serbest bırakmaya çalışırdı. Bu hatanın istismar edilmesi, bir yığın tampon taşmasına (heap buffer overflow) neden olur. Bir kullanıcı, bu sorunu istismar etmek için özel olarak hazırlanmış bir dosyayı açarsa; bu durum programın çökmesine veya veri ile yığın yapılarının program tarafından beklenmeyen şekillerde üzerine yazılmasına yol açabilir. Bunun, rastgele kod çalıştırma elde etmek için kullanılması mümkün olabilir. Versiyonlar 1.23.1, 1.22.2 ve 1.21.1 bu sorun için düzeltmeler içermektedir. En kolay geçici çözüm, güvenilmeyen kaynaklardan gelen tüm `.gzi` indeks dosyalarını silmek ve bunları yeniden oluşturmak için `bgzip -r` seçeneğini kullanmaktır.