CVE-2026-21452 in msgpack-java
الملخص
بحسب VulDB • 30/05/2026
MessagePack for Java هو تنفيذ لتقنية التعيين (serializer) لنظام Java. توجد ثغرة في حجب الخدمة (DoS) في الإصدارات السابقة لـ 0.9.11 عند فك تعيين (deserializing) ملفات .msgpack التي تحتوي على كائنات EXT32 بأطوال حمولة (payload lengths) يتحكم فيها المهاجم. بينما يقوم MessagePack-Java بتحليل رؤوس الامتداد بشكل كسول (lazily)، فإنه يثق لاحقاً في طول الحمولة المعلن للامتداد عند تجسيد بيانات الامتداد. عند استدعاء الدالة ExtensionValue.getData()، تحاول المكتبة تخصيص مصفوفة بايتات بطول مُعلن دون فرض أي حد أقصى. لذلك، يمكن لملف .msgpack خبيث يتكون من بضعة بايتات فقط أن يؤدي إلى تخصيص غير محدود للذاكرة العشوائية (heap allocation)، مما ينتج عنه استنفاد ذاكرة JVM العشوائية، وإنهاء العملية، أو عدم توفر الخدمة. يتم تفعيل هذه الثغرة أثناء تحميل النموذج / فك التعيين، مما يجعلها ثغرة في تنسيق النموذج مناسبة للاستغلال عن بُعد. تتيح هذه الثغرة هجوماً لحجب الخدمة عن بُعد ضد التطبيقات التي تقوم بفك تعيين ملفات نماذج .msgpack غير الموثوقة باستخدام MessagePack for Java. يمكن لملف .msgpack مُعدّ خصيصاً وصحيح من الناحية النحوية، ويحتوي على كائن EXT32 بطول حمولة كبير بشكل مفرط يتحكم فيه المهاجم، أن يؤدي إلى تخصيص ذاكرة غير محدود أثناء فك التعيين. عند تحميل ملف النموذج، تثق المكتبة في بيانات الطول المُعلنة وتحاول تخصيص مصفوفة بايتات بهذا الحجم، مما يؤدي إلى استنفاد سريع للذاكرة العشوائية، أو جمع نفايات مفرط (garbage collection)، أو إنهاء JVM فوراً مع حدوث خطأ OutOfMemoryError. لا يتطلب الهجوم أي بايتات غير صالحة، أو تفاعلاً من المستخدم، أو امتيازات مرتفعة، ويمكن استغلاله عن بُعد في بيئات العالم الحقيقي مثل سجلات النماذج (model registries)، وخدمات الاستدلال (inference services)، وخطوط أنابيب CI/CD، ومنصات استضافة النماذج القائمة على السحابة التي تقبل أو تجلب ملفات .msgpack. لأن الملف الخبيث صغير جداً وصحيح، يمكنه تجاوز آليات التحقق والفحص الأساسية، مما يؤدي إلى عدم توفر الخدمة بالكامل وفشل متسلسل محتمل في أنظمة الإنتاج. تقوم الإصدار 0.9.11 بإصلاح هذه الثغرة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.