Un archivio XZ è un contenitore di file compressi usato per memorizzare dati in blocchi insieme a metadati come dimensioni e indici. Il formato è progettato per una compressione efficiente, ma questa struttura significa anche che il software deve analizzare campi controllati da un attaccante prima di poter estrarre qualcosa in modo sicuro.
Nel campo della sicurezza informatica, quel parser diventa un confine di sicurezza. Se i campi di lunghezza, i limiti dei chunk o i metadati dei blocchi vengono gestiti in modo errato, un file .xz creato appositamente può causare corruzione della memoria nel codice di decompressione, portando talvolta a crash o all'esecuzione di codice nel processo corrente. Gli attaccanti possono consegnare archivi malevoli tramite email, download o pipeline automatizzate di file, mentre i difensori riducono il rischio applicando patch agli strumenti per archivi, eseguendo l'estrazione in sandbox e trattando gli archivi esterni come input non affidabili.