CVE-2026-47321

CompressionFilter sınıfı, gönderilen ve alınan verileri sıkıştırmak ve açmak için ZLib kullanır. Gelen veriler açıldığında, filtre sonuç boyutunu kontrol etmez ve her durumda bir arabellek oluşturur. Bazı sıkıştırılmış veriler 1 binden daha büyük bir sıkıştırma oranına sahip olabilir; açılmış boyut kontrol edilmediği için bu durum uygulama belleğinin tükenmesine yol açabilir. Düzeltme, uygulama geliştiricisinin sabit bir boyut sınırı belirlemesine olanak tanıyarak böyle bir kontrol ekler ve bu sınıra ulaşıldığında bir istisna fırlatılır. Ayrıca, kullanıcının aşılmaması gereken bir sıkıştırma oranı belirlemesine izin verilerek uygulamanın küçük dosyaların devasa dosyalara dönüşmesinden korunması sağlanmıştır; ancak yanlış pozitifleri önlemek için (çok küçük bir dosyanın yüksek bir oranla açılmasına rağmen birkaç bin bayt gibi kabul edilebilir bir boyuta ulaşması gibi) sonuç boyutu için bir tolerans sınırı (1Mb) getirilmiştir. Bu özelliği kullanan uygulamalar için CompressionFilter nesnesini oluşturmaları ve dördüncü kurucu parametre olarak maxDecompressedSize maksimum sınırını geçirmeleri şiddetle önerilir: public CompressionFilter(final boolean compressInbound, final boolean compressOutbound, final int compressionLevel, final int maxDecompressedSize) İsteğe bağlı olarak beşinci bir parametre olan maxDecompressRatio ve yüksek sıkıştırma oranına sahip küçük açılmış dosyaların hala kabul edilmesini sağlamak için altıncı bir parametre olan decompressRatioMinSize da sağlanabilir. Ek kurucular şunlardır: public CompressionFilter(final boolean compressInbound, final boolean compressOutbound, final int compressionLevel, final int maxDecompressedSize, final long maxDecompressRatio, final long decompressRatioMinSize) Ayrıca, kullanıcıların bu kadar çok parametreli bir kurucuyu çağırma zahmetinden kurtulmaları için akıcı (fluent) bir API eklendiğine dikkat edin: CompressionFilter compressionFilter = new CompressionFilter() .setCompressionLevel(Zlib.COMPRESSION_MAX) .setMaxDecompressedSize(1_000_000) .setMaxDecompressRatio(100). .setDecompressRatioMinSize(100_000); Apache MINA kullanan uygulamaların güncellemeleri yapmaları ve CompressionFilter örneklerini yapılandırmaları tavsiye edilir.