CVE-2026-78384
Açıklama
CompressionUtils.inflate(), saldırgan tarafından kontrol edilen DEFLATE verilerini herhangi bir çıktı boyut sınırı olmaksızın açmaktaydı. Özel olarak hazırlanmış küçük (~KB) bir yük, yığında (heap) gigabaytlarca boyuta genişleyebilmektedir. Bu durum, zip=DEF olduğunda JWE şifre çözme (örneğin RSA-OAEP anahtar sarmalama ile JoseSessionTokenProvider) ve SAML yönlendirme/POST bağlama belirteç şişirmesi yoluyla erişilebilirdir; her iki durumda da sıkıştırmayı açma işlemi güven doğrulamasından önce veya bundan bağımsız olarak gerçekleşmektedir. Çözüm: CompressionUtils.inflate() fonksiyonuna yapılandırılabilir bir maksimum şişmiş boyut sınırı eklendi (varsayılan 10 MiB, org.apache.cxf.compression-max-inflated-size sistem özelliği); sınır aşıldığında işlem DataFormatException ile sonlandırılır. Kullanıcıların bu sorunu gideren 4.2.4, 4.1.9 veya 3.6.13 sürümlerine yükseltmeleri önerilir.
Nasıl düzeltilir
- apache cxf3.6.13, 4.1.9, 4.2.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache cxf | v < 3.6.13, 4.0.0 ≤ v < 4.1.9, 4.2.0 ≤ v < 4.2.4 | 3.6.13, 4.1.9, 4.2.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.