Zlib 1.4 corrige plus d’une douzaine de failles de sécurité

Ce qui est nouveau

Zlib 1.4 est disponible sur le site du projet. Cette version regroupe plus d’une douzaine de correctifs de sécurité, qui touchent la bibliothèque de compression ainsi que les composants minizip et miniunz distribués avec elle. Ils corrigent notamment des débordements de tampon, des lectures hors limites et la copie de mémoire non initialisée dans les données produites.

La faille CVE-2026-85091 concerne les écritures gzip non bloquantes : une opération d’écriture peut provoquer un débordement de tampon. D’autres corrections portent sur le traitement des archives ZIP et sur leur extraction.

Ce qui change et pourquoi

Certains défauts dépendent d’un enchaînement précis d’opérations. Dans les versions 1.3.1 et 1.3.2, un en-tête indiquant une taille de fenêtre invalide, suivi d’un appel à inflateReset() ou inflateSync(), pouvait conduire inflateGetDictionary() à écrire au-delà du tampon fourni par l’application. Le correctif traite donc une situation particulière de gestion de l’état du décompresseur.

Pour miniunz, le traitement des chemins se fait désormais composant par composant. Cette modification corrige la possibilité de créer des répertoires hors du dossier d’extraction et, sous Windows, d’écrire des fichiers à des emplacements arbitraires.

La mise à jour modifie aussi l’intégration du logiciel : la version minimale de CMake passe de 3.12 à 3.15 et les noms des bibliothèques changent avec MSVC. Le projet précise que les applications Windows compilées avec les en-têtes de la version 1.3.2 doivent être recompilées.

Pourquoi c’est important

Les conséquences corrigées dépassent un simple échec de décompression : elles concernent aussi le contenu des données produites et l’emplacement des fichiers extraits. Leur portée dépend toutefois des fonctions et composants effectivement utilisés par chaque application.

Tous les défauts n’ont pas la même gravité. Pour CVE-2026-4738, dans contrib/infback9, le projet juge la qualification critique excessive : les pointeurs reviennent dans les limites avant utilisation et aucun compilateur connu ne gère mal ce cas.