CVE-2026-106451
Açıklama
yawkat LZ4 Java, Java için LZ4 sıkıştırması sağlar. 1.7.0 ile 1.11.4 sürümleri arasında, net.jpountz.util.Native.load() özel bir geçici .lck dosyası oluşturmak için File.createTempFile kullanır ancak yerel kütüphane yolunu son eki kaldırarak türetir; ardından FileOutputStream bu öngörülebilir yolu özel oluşturma olmadan açar. Bu durum, aynı paylaşılan geçici dizine erişimi olan başka bir yerel kullanıcının, System.load() tarafından kullanılmadan önce kütüphane dosyasını oluşturmasına veya değiştirmesine olanak tanır. Başarılı istismar; paylaşılan dizin izinlerine, ana bilgisayar korumalarına ve yarış durumunun kazanılmasına bağlıdır ve mağdur adına yerel kod çalıştırabilir; sıkılaştırılmış sistemlerde ise bunun yerine kütüphane yükleme işlemi başarısız olabilir ve Java uygulamalarına geri dönülebilir. Sistem kütüphanesi, özel bir java.io.tmpdir veya yalnızca Java tabanlı uygulamalar kullanan yapılandırmalar etkilenmez. Bu sorun 1.11.4 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- at.yawk.lz4:lz4-java1.11.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| at.yawk.lz4:lz4-javaMaven | v < 1.11.4 | 1.11.4 |
| org.lz4:lz4-javaMaven | 1.7.0 ≤ v ≤ 1.8.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.