Ning compress-lzf before 1.2.0 contains an out-of-bounds memory access vulnerability in the sun...
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Javaの圧縮ライブラリ Ning compress-lzf の1.2.0より前の版に、細工されたLZFデータを処理させるとJVMのメモリ内容が漏れたり、JVMが停止したりする脆弱性(CVE-2026-109395)が見つかりました。外部から受け取ったLZFデータを展開するJavaアプリケーションが影響を受けるため、利用の有無を確認し、1.2.0以降への更新を進めてください。
Description d'origine La description telle que publiée par la source (souvent en anglais).
Ning compress-lzf before 1.2.0 contains an out-of-bounds memory access vulnerability in the sun.misc.Unsafe based UnsafeChunkDecoder that fails to validate back-references and literal runs. Attackers can supply crafted LZF streams to applications using the default LZFDecoder to leak unrelated JVM heap memory into decompressed output or crash the JVM.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Références
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com