CVE-2026-106450
Açıklama
yawkat LZ4 Java, Java için LZ4 sıkıştırması sağlar. 1.11.4 sürümünden önce, net.jpountz.lz4.LZ4FrameInputStream readHeader() yöntemi, maksimum blok boyutuna sahip bir çerçeve üst bilgisi okunduğunda iki yeni 4 MiB'lık blok tamponu tahsis eder ve varsayılan concatenated-frame modu, saldırgan tarafından kontrol edilen ve çok sayıda minimal boş çerçeve içeren akışların her 11 giriş baytı için yaklaşık 8 MiB tahsisat tetiklemesine izin verir. Akış, CPU ve çöp toplama (garbage-collection) süresi tüketirken herhangi bir sıkıştırılmamış çıktı üretmez, bu nedenle sıkıştırılmamış boyut sınırları sorunu hafifletmez; readSingleFrame modu etkilenmemiştir. Bu sorun 1.11.4 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- at.yawk.lz4:lz4-java1.11.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| at.yawk.lz4:lz4-javaMaven | v < 1.11.4 | 1.11.4 |
| org.lz4:lz4-javaMaven | v ≤ 1.8.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.