CVE-2026-104016

ProtobufParser, (_inputPtr + len) <= _inputEnd kontrolünü yaparak ve ardından hızlı yolda _finishShortText(len) fonksiyonunu çağırarak uzunluk ön ekli protobuf string ve bytes alanlarını ayrıştırır. Her iki işlem de 32 bit imzalı tam sayı aritmetiği kullanır. Bir saldırgan, Integer.MAX_VALUE değerine yakın bir uzunluğa sahip varint çözümü sağladığında, _inputPtr + len işlemi negatif bir değere taşar, sınır kontrolü geçer ve _finishShortText(len) fonksiyonu, herhangi bir üst sınır olmadan Arrays.copyOf işlemini gerçekleştiren ve OutOfMemoryError: Requested array size exceeds VM limit hatasını fırlatan TextBuffer.expandCurrentSegment(len) kısmına ulaşır. JVM, mevcut yığına danışmadan önce Integer.MAX_VALUE - 8'den daha büyük dizileri reddeder, bu nedenle -Xmx ayarları sorunu gidermez. StreamReadConstraints.maxStringLength ve maxDocumentLength bu yolu engellemez: 33 baytlık bir yük, herhangi bir belge uzunluğu sınırının çok altındadır ve dize uzunluğu kontrolü tahsisat gerçekleşmeden önce tetiklenmez. Bu durum; maxStringLength, maxDocumentLength ve maxNestingDepth yapılandırılmış olan dağıtım artifaktları üzerinde ampirik olarak doğrulanmıştır. Şubat 2026 tarihli bir sıkılaştırma commit'i, paketlenmiş dizi uzunluğu ve mesaj uzunluğu yollarına eşdeğer taşma koruması eklemiş ancak dize uzunluğu çağrı noktalarını korumasız bırakmıştır. Ayrıştırma için veri gönderme yeteneğinin ötesinde herhangi bir ayrıcalık veya kullanıcı etkileşimi gerekmemektedir.