CVE-2026-106451 in lz4-java
Zusammenfassung
von VulDB • 07.10.2026
yawkat LZ4 Java bietet LZ4-Komprimierung für Java. Von der Version 1.7.0 bis zur Version 1.11.4 verwendet net.jpountz.util.Native.load() File.createTempFile, um eine exklusive temporäre .lck-Datei zu erstellen, leitet den Pfad der nativen Bibliothek jedoch ab, indem es das Suffix entfernt; anschließend öffnet FileOutputStream diesen vorhersehbaren Pfad ohne exklusive Erstellung. Dies ermöglicht es einem anderen lokalen Benutzer mit Zugriff auf dasselbe gemeinsame Verzeichnis für temporäre Dateien, die Library-Datei vor deren Verwendung durch System.load() zu erstellen oder zu ersetzen. Die erfolgreiche Ausnutzung hängt von den Berechtigungen des gemeinsamen Verzeichnisses, dem Host-Schutz und dem Gewinn eines Race Condition ab; sie kann dazu führen, dass nativer Code im Kontext des Opfers ausgeführt wird. Auf gehärteten Systemen kann dies stattdessen zum Fehlschlagen des Library-Ladens führen und einen Rückgriff auf Java-Implementierungen bewirken. Konfigurationen, die eine Systembibliothek, ein privates java.io.tmpdir oder ausschließlich Java-basierte Implementierungen verwenden, sind nicht betroffen. Dieses Problem wurde in Version 1.11.4 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.