compress-lzf に範囲外メモリ読み出し、1.2.0で修正
Summary
Javaの圧縮ライブラリ Ning compress-lzf の1.2.0より前の版に、細工されたLZFデータを処理させるとJVMのメモリ内容が漏れたり、JVMが停止したりする脆弱性(CVE-2026-109395)が見つかりました。外部から受け取ったLZFデータを展開するJavaアプリケーションが影響を受けるため、利用の有無を確認し、1.2.0以降への更新を進めてください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Javaの圧縮ライブラリ Ning compress-lzf の1.2.0より前の版に、細工されたLZFデータを処理させるとJVMのメモリ内容が漏れたり、JVMが停止したりする脆弱性(CVE-2026-109395)が見つかりました。外部から受け取ったLZFデータを展開するJavaアプリケーションが影響を受けるため、利用の有無を確認し、1.2.0以降への更新を進めてください。
Original description The description as published by the source.
Ning compress-lzf before 1.2.0 contains an out-of-bounds memory access vulnerability in the sun.misc.Unsafe based UnsafeChunkDecoder that fails to validate back-references and literal runs. Attackers can supply crafted LZF streams to applications using the default LZFDecoder to leak unrelated JVM heap memory into decompressed output or crash the JVM.
Source: NIST National Vulnerability Database NVD GitHub Advisory
References
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com