Vulnérabilité dans com.squareup.wire:wire-runtime (CVE-2026-63126)
Résumé
Vulnérabilité dans com.squareup.wire:wire-runtime (CVE-2026-63126). Risque d'opérations non autorisées ou de divulgation. Exploitable via ProtoReader32. Atténuation : mise à jour vers 7.0.0-alpha04 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Wire's protobuf decoders did not consistently validate attacker-controlled length-delimited sizes against the current reader bounds before computing cursor, limit, or pointer positions.
In the Kotlin runtime, ProtoAdapter.decode(ByteArray) and ProtoAdapter.decode(ByteString) use the ProtoReader32 fast path implemented by ByteArrayProtoReader32. In ByteArrayProtoReader32.internalNextLengthDelimited(), Wire read an untrusted varint length into an Int and rejected only negative values. A length such as 2147483647 is non-negative, so it passed that check, but pos + length overflowed the signed 32-bit cursor and produced a negative limit. The following if (limit > pushedLimit) guard did not catch this because the overflowed value was negative.
That invalid limit then reached string, bytes, skip, and scalar-reading paths as an invalid byte count or invalid range. Instead of failing as a checked decode error such as IOException, malformed input could throw unchecked runtime exceptions including IllegalArgumentException and ArrayIndexOutOfBoundsException. Applications commonly treat malformed protobuf input as an expected decode failure; unchecked runtime exceptions escaping that boundary can crash request handling or the process.
The original report is a sibling of the negative-length skipped-group bug fixed as CVE-2026-45799. It is not the same bug. The length in this advisory is positive, and the overflow occurs when setting a length-delimited message…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-63126 a été découverte dans com.squareup.wire:wire-runtime.
Des attaquants peuvent cibler un point d'entrée spécifique comme ProtoReader32 à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 7.5/10.
Action : mettez à jour com.squareup.wire:wire-runtime vers 7.0.0-alpha04 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « com.squareup.wire:wire-runtime CVE-2026-63126 » sur le site de l'éditeur.
CVE-2026-63126 (com.squareup.wire:wire-runtime) — CWE-190 / CVSS v3 7.5
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : ProtoReader32 / ByteArrayProtoReader32 / Int / limit
Correctif : 7.0.0-alpha04 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-190) affecte com.squareup.wire:wire-runtime. Les attaquants atteignent le code vulnérable via ProtoReader32 sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de com.squareup.wire:wire-runtime. Surface d'attaque : ProtoReader32 / ByteArrayProtoReader32 / Int / limit.
Gravité : Élevée (CVSS 7.5/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 7.0.0-alpha04.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
Audit SBOM/dependencies for affected components.資産台帳・SBOM・依存マニフェストで com.squareup.wire:wire-runtime を使っているサービスとバージョンを洗い出す。
-
2Apply patch patch
Upgrade com.squareup.wire:wire-runtime to 7.0.0-alpha04ステージング環境で 7.0.0-alpha04 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web nvd.nist.gov
- web github.com