CVE-2026-106451

yawkat LZ4 Java, Java üçün LZ4 sıxılması təmin edir. 1.7.0 versiyasından 1.11.4 versiyasına qədər net.jpountz.util.Native.load() eksklüziv müvəqqəti .lck faylı yaratmaq üçün File.createTempFile istifadə edir, lakin yerli kitabxana yolunu sonluğu silməklə əldə edir, sonra isə FileOutputStream həmin proqnozlaşdırıla bilən yolu eksklüziv yaratma olmadan açır. Bu, eyni ortaq müvəqqəti kataloga giriş imkanı olan digər lokal istifadəçiyə System.load() tərəfindən istifadə edilməzdən əvvəl kitabxana faylını yaratmağa və ya dəyişdirməyə imkan verir. Uğurlu istismar ortaq kataloq icazələrindən, host qorumalarından və yarış şərtini (race condition) qazanmaqdan asılıdır və qurban kimi yerli kodun icrasına səbəb ola bilər; gücləndirilmiş sistemlərdə isə bu, kitabxananın yüklənməsinin uğursuz olmasına və Java implementasiyalarına geri qayıtmasına səbəb ola bilər. Sistem kitabxanasından, şəxsi java.io.tmpdir-dən və ya yalnız Java implementasiyalarından istifadə edən konfiqurasiyalar bundan təsirlənmir. Bu problem 1.11.4 versiyasında düzəldilib.