CVE catalog

CVE-2026-34743

XZ Utils provide a general-purpose data-compression library plus command-line tools. Prior to version 5.8.3, if lzma_index_decoder() was used to decode an Index that contained no Records, the resultin

[CVE catalog]

Severity
High · CVSS 7.4CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Published
Source
[NVD] · [CVE record]
EPSS
0.51% · Oct 25, 2026

XZ Utils provide a general-purpose data-compression library plus command-line tools. Prior to version 5.8.3, if lzma_index_decoder() was used to decode an Index that contained no Records, the resulting lzma_index was left in a state where where a subsequent lzma_index_append() would allocate too little memory, and a buffer overflow would occur. This issue has been patched in version 5.8.3.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianxz-utilssid5.8.4-1fixed
Debianxz-utilsforky5.8.4-1fixed
Debianxz-utilstrixie5.8.1-1+deb13u1fixed
Debianxz-utilstrixie-security5.8.1-1+deb13u2fixed
Debianxz-utilsbookworm5.4.1-1+deb12u1fixed
Debianxz-utilsbookworm-security5.4.1-1+deb12u2fixed
Cpexz-utilsNot reported5.6.1+really5.4.5-1ubuntu0.3fixed
Cpeliblzma-devNot reported5.6.1+really5.4.5-1ubuntu0.3fixed
Cpeliblzma-docNot reported5.6.1+really5.4.5-1ubuntu0.3fixed
Cpeliblzma5Not reported5.6.1+really5.4.5-1ubuntu0.3fixed
CpexzdecNot reported5.6.1+really5.4.5-1ubuntu0.3fixed
Cpexz-utilsNot reported5.4.1-1+deb12u1fixed
CpexzNot reported5.8.3fixed
Alpinexz3.205.8.3-r0fixed
Alpinexz3.215.8.3-r0fixed
Alpinexz3.225.8.3-r0fixed
Alpinexz3.235.8.3-r0fixed
Alpinexz3.245.8.3-r0fixed
Ubuntuxz-utilspro5.2.4-1vulnerable
Ubuntuxz-utilspro5.2.4-1ubuntu1vulnerable
Ubuntuxz-utilspro5.2.4-1ubuntu1.1vulnerable
Ubuntuxz-utilspro5.2.4-1ubuntu1.1+esm1fixed
Ubuntuxz-utils22.045.2.5-2vulnerable
Ubuntuxz-utils22.045.2.5-2build1vulnerable
Ubuntuxz-utils22.045.2.5-2build2vulnerable
Ubuntuxz-utils22.045.2.5-2ubuntu1vulnerable
Ubuntuxz-utils22.045.2.5-2ubuntu1.1fixed
Ubuntuxz-utils24.045.4.1-0.2vulnerable
Ubuntuxz-utils24.045.4.4-0.1vulnerable
Ubuntuxz-utils24.045.4.5-0.1vulnerable
Ubuntuxz-utils24.045.4.5-0.3vulnerable
Ubuntuxz-utils24.045.6.0-0.2vulnerable
Ubuntuxz-utils24.045.6.1+really5.4.5-1vulnerable
Ubuntuxz-utils24.045.6.1+really5.4.5-1build0.1vulnerable
Ubuntuxz-utils24.045.6.1+really5.4.5-1ubuntu0.2vulnerable
Ubuntuxz-utils24.045.6.1+really5.4.5-1ubuntu0.3fixed
Ubuntuxz-utils25.105.6.4-1ubuntu1vulnerable
Ubuntuxz-utils25.105.8.1-1vulnerable
Ubuntuxz-utils25.105.8.1-1build1vulnerable
Ubuntuxz-utils25.105.8.1-1build2vulnerable
Ubuntuxz-utils25.105.8.1-1ubuntu0.1fixed
Ubuntuxz-utilspro5.2.4-1vulnerable
Ubuntuxz-utilspro5.2.4-1ubuntu1vulnerable
Ubuntuxz-utilspro5.2.4-1ubuntu1.1vulnerable
Ubuntuxz-utilspro5.2.4-1ubuntu1.1+esm1fixed
Ubuntuxz-utils22.045.2.5-2vulnerable
Ubuntuxz-utils22.045.2.5-2build1vulnerable
Ubuntuxz-utils22.045.2.5-2build2vulnerable
Ubuntuxz-utils22.045.2.5-2ubuntu1vulnerable
Ubuntuxz-utils22.045.2.5-2ubuntu1.1fixed
Ubuntuxz-utils24.045.4.1-0.2vulnerable
Ubuntuxz-utils24.045.4.4-0.1vulnerable
Ubuntuxz-utils24.045.4.5-0.1vulnerable
Ubuntuxz-utils24.045.4.5-0.3vulnerable
Ubuntuxz-utils24.045.6.0-0.2vulnerable
Ubuntuxz-utils24.045.6.1+really5.4.5-1vulnerable
Ubuntuxz-utils24.045.6.1+really5.4.5-1build0.1vulnerable
Ubuntuxz-utils24.045.6.1+really5.4.5-1ubuntu0.2vulnerable
Ubuntuxz-utils24.045.6.1+really5.4.5-1ubuntu0.3fixed
Ubuntuxz-utils25.105.6.4-1ubuntu1vulnerable
Ubuntuxz-utils25.105.8.1-1vulnerable
Ubuntuxz-utils25.105.8.1-1build1vulnerable
Ubuntuxz-utils25.105.8.1-1build2vulnerable
Ubuntuxz-utils25.105.8.1-1ubuntu0.1fixed
Opensusexztumbleweed5.8.3-1.1fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianxz-utilssourcesid5.8.3-1not yet assignedNot reported[1132497]
Debianxz-utilssourceforky5.8.3-1not yet assignedNot reported[1132497]
Debianxz-utilssourcetrixie5.8.1-1+deb13u1not yet assignedNot reported[1132497]
Debianxz-utilssourcebookworm5.4.1-1+deb12u1not yet assignedNot reported[1132497]
Cpexz-utilscpeNot reported5.6.1+really5.4.5-1ubuntu0.3Not reportedNot reportedNot reported
Cpeliblzma-devcpeNot reported5.6.1+really5.4.5-1ubuntu0.3Not reportedNot reportedNot reported
Cpeliblzma-doccpeNot reported5.6.1+really5.4.5-1ubuntu0.3Not reportedNot reportedNot reported
Cpeliblzma5cpeNot reported5.6.1+really5.4.5-1ubuntu0.3Not reportedNot reportedNot reported
CpexzdeccpeNot reported5.6.1+really5.4.5-1ubuntu0.3Not reportedNot reportedNot reported
Cpexz-utilscpeNot reported5.4.1-1+deb12u1Not reportedNot reportedNot reported
CpexzcpeNot reported5.8.3Not reportedNot reportedNot reported
Alpinexzapk3.205.8.3-r0Not reportedALPINE-CVE-2026-34743Not reported
Alpinexzapk3.215.8.3-r0Not reportedALPINE-CVE-2026-34743Not reported
Alpinexzapk3.225.8.3-r0Not reportedALPINE-CVE-2026-34743Not reported
Alpinexzapk3.235.8.3-r0Not reportedALPINE-CVE-2026-34743Not reported
Alpinexzapk3.245.8.3-r0Not reportedALPINE-CVE-2026-34743Not reported
Ubuntuxz-utilsdebpro5.2.4-1ubuntu1.1+esm1Not reportedUSN-8362-1Not reported
Ubuntuxz-utilsdeb22.045.2.5-2ubuntu1.1Not reportedUSN-8362-1Not reported
Ubuntuxz-utilsdeb24.045.6.1+really5.4.5-1ubuntu0.3Not reportedUSN-8362-1Not reported
Ubuntuxz-utilsdeb25.105.8.1-1ubuntu0.1Not reportedUSN-8362-1Not reported
Ubuntuxz-utilsdebpro5.2.4-1ubuntu1.1+esm1Not reportedUBUNTU-CVE-2026-34743Not reported
Ubuntuxz-utilsdeb22.045.2.5-2ubuntu1.1Not reportedUBUNTU-CVE-2026-34743Not reported
Ubuntuxz-utilsdeb24.045.6.1+really5.4.5-1ubuntu0.3Not reportedUBUNTU-CVE-2026-34743Not reported
Ubuntuxz-utilsdeb25.105.8.1-1ubuntu0.1Not reportedUBUNTU-CVE-2026-34743Not reported
Opensusexzrpmtumbleweed5.8.3-1.1Not reportedOPENSUSE-SU-2026:10492-1Not reported

[Debian bug #1132497]

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [liblzma5]Affected

    Source package: [xz-utils]

    Details (4)

    • 5.4.1-1+deb12u1 · amd64 · bookworm

      Fixed · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

    • 5.4.1-1+deb12u1 · arm64 · bookworm

      Fixed · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

    • 5.4.1-1 · amd64 · bookworm-security

      Affected · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

    • 5.4.1-1 · arm64 · bookworm-security

      Affected · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

  • [liblzma-dev]Affected

    Source package: [xz-utils]

    Details (4)

    • 5.4.1-1+deb12u1 · amd64 · bookworm

      Fixed · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

    • 5.4.1-1+deb12u1 · arm64 · bookworm

      Fixed · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

    • 5.4.1-1 · amd64 · bookworm-security

      Affected · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

    • 5.4.1-1 · arm64 · bookworm-security

      Affected · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

  • [liblzma-doc]Affected

    Source package: [xz-utils]

    Details (4)

    • 5.4.1-1+deb12u1 · all · bookworm

      Fixed · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

    • 5.4.1-1+deb12u1 · all · bookworm

      Fixed · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

    • 5.4.1-1 · all · bookworm-security

      Affected · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

    • 5.4.1-1 · all · bookworm-security

      Affected · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

  • [xzdec]Affected

    Source package: [xz-utils]

    Details (4)

    • 5.4.1-1+deb12u1 · amd64 · bookworm

      Fixed · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

    • 5.4.1-1+deb12u1 · arm64 · bookworm

      Fixed · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

    • 5.4.1-1 · amd64 · bookworm-security

      Affected · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

    • 5.4.1-1 · arm64 · bookworm-security

      Affected · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

  • [xz-utils]Affected
    Details (4)

    • 5.4.1-1+deb12u1 · amd64 · bookworm

      Fixed · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

    • 5.4.1-1+deb12u1 · arm64 · bookworm

      Fixed · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

    • 5.4.1-1 · amd64 · bookworm-security

      Affected · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

    • 5.4.1-1 · arm64 · bookworm-security

      Affected · Fixed: 5.4.1-1+deb12u1

      nvd · xz-utils · debian · bookworm; nvd · xz-utils · debian · 12

[openSUSE Tumbleweed]

  • [liblzma5]Unknown

    Source package: [xz]

    Details (1)

    • 5.8.3-1.4 · x86_64 · tumbleweed

      Unknown · Fixed: 5.8.3-1.1

      Version impact unknown

      nvd · xz · opensuse · tumbleweed

  • [liblzma5-32bit]Unknown

    Source package: [xz]

    Details (1)

    • 5.8.3-1.4 · x86_64 · tumbleweed

      Unknown · Fixed: 5.8.3-1.1

      Version impact unknown

      nvd · xz · opensuse · tumbleweed

  • [liblzma5-x86-64-v3]Unknown

    Source package: [xz]

    Details (1)

    • 5.8.3-1.4 · x86_64 · tumbleweed

      Unknown · Fixed: 5.8.3-1.1

      Version impact unknown

      nvd · xz · opensuse · tumbleweed

  • [xz-devel]Unknown

    Source package: [xz]

    Details (1)

    • 5.8.3-1.4 · x86_64 · tumbleweed

      Unknown · Fixed: 5.8.3-1.1

      Version impact unknown

      nvd · xz · opensuse · tumbleweed

  • [xz-devel-32bit]Unknown

    Source package: [xz]

    Details (1)

    • 5.8.3-1.4 · x86_64 · tumbleweed

      Unknown · Fixed: 5.8.3-1.1

      Version impact unknown

      nvd · xz · opensuse · tumbleweed

  • [xz-lang]Unknown

    Source package: [xz]

    Details (1)

    • 5.8.3-1.4 · noarch · tumbleweed

      Unknown · Fixed: 5.8.3-1.1

      Version impact unknown

      nvd · xz · opensuse · tumbleweed

  • [xz]Fixed

    Source package: [xz]

    Details (1)

    • 5.8.3-1.4 · x86_64 · tumbleweed

      Fixed · Fixed: 5.8.3-1.1

      nvd · xz · opensuse · tumbleweed

[Debian 13 (Trixie)]

  • [liblzma5]Fixed

    Source package: [xz-utils]

    Details (3)

    • 5.8.1-1+deb13u1 · amd64 · trixie

      Fixed · Fixed: 5.8.1-1+deb13u1

      nvd · xz-utils · debian · 13

    • 5.8.1-1+deb13u1 · arm64 · trixie

      Fixed · Fixed: 5.8.1-1+deb13u1

      nvd · xz-utils · debian · 13

    • 5.8.1-1+deb13u2 · amd64 · trixie-security

      Fixed · Fixed: 5.8.1-1+deb13u1

      nvd · xz-utils · debian · 13

  • [liblzma-dev]Fixed

    Source package: [xz-utils]

    Details (3)

    • 5.8.1-1+deb13u1 · amd64 · trixie

      Fixed · Fixed: 5.8.1-1+deb13u1

      nvd · xz-utils · debian · 13

    • 5.8.1-1+deb13u1 · arm64 · trixie

      Fixed · Fixed: 5.8.1-1+deb13u1

      nvd · xz-utils · debian · 13

    • 5.8.1-1+deb13u2 · amd64 · trixie-security

      Fixed · Fixed: 5.8.1-1+deb13u1

      nvd · xz-utils · debian · 13

  • [liblzma-doc]Fixed

    Source package: [xz-utils]

    Details (3)

    • 5.8.1-1+deb13u1 · all · trixie

      Fixed · Fixed: 5.8.1-1+deb13u1

      nvd · xz-utils · debian · 13

    • 5.8.1-1+deb13u1 · all · trixie

      Fixed · Fixed: 5.8.1-1+deb13u1

      nvd · xz-utils · debian · 13

    • 5.8.1-1+deb13u2 · all · trixie-security

      Fixed · Fixed: 5.8.1-1+deb13u1

      nvd · xz-utils · debian · 13

  • [xzdec]Fixed

    Source package: [xz-utils]

    Details (3)

    • 5.8.1-1+deb13u1 · amd64 · trixie

      Fixed · Fixed: 5.8.1-1+deb13u1

      nvd · xz-utils · debian · 13

    • 5.8.1-1+deb13u1 · arm64 · trixie

      Fixed · Fixed: 5.8.1-1+deb13u1

      nvd · xz-utils · debian · 13

    • 5.8.1-1+deb13u2 · amd64 · trixie-security

      Fixed · Fixed: 5.8.1-1+deb13u1

      nvd · xz-utils · debian · 13

  • [xz-utils]Fixed
    Details (3)

    • 5.8.1-1+deb13u1 · amd64 · trixie

      Fixed · Fixed: 5.8.1-1+deb13u1

      nvd · xz-utils · debian · 13

    • 5.8.1-1+deb13u1 · arm64 · trixie

      Fixed · Fixed: 5.8.1-1+deb13u1

      nvd · xz-utils · debian · 13

    • 5.8.1-1+deb13u2 · amd64 · trixie-security

      Fixed · Fixed: 5.8.1-1+deb13u1

      nvd · xz-utils · debian · 13

Observed:

References

[CERT-Bund public advisories] · [Debian Security Tracker] · [FIRST EPSS] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database] · [Red Hat security advisories and VEX] · [SUSE security advisories and VEX] · [Ubuntu Security Notices (USN)]