CVE-2026-106449
Təsvir
yawkat LZ4 Java, Java üçün LZ4 sıxılmasını təmin edir. 1.11.4 versiyasından əvvəl, stopOnEmptyBlock parametri false olaraq konfiqurasiya edilmiş net.jpountz.lz4.LZ4BlockInputStream hər bir düzgün formalaşmış boş LZ4Block-u refill() funksiyasını rekursiv şəkildə çağırmaqla emal edir. Bu, hücumçu tərəfindən idarə olunan sıxılmış axındakı uzun boş bloklar ardıcıllığının dekodlaşdırma axınının stekini doldurmasına və StackOverflowError xətasının yaranmasına şərait yaradır. Varsayılan stopOnEmptyBlock parametrinin dəyəri true-dur və bu problemə təsir etmir; həmçinin problem yaddaş korlanmasına səbəb olmur. Bu problem 1.11.4 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- at.yawk.lz4:lz4-java1.11.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| at.yawk.lz4:lz4-javaMaven | v < 1.11.4 | 1.11.4 |
| org.lz4:lz4-javaMaven | v ≤ 1.8.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.