CVE-2026-21452 in msgpack-java
Zusammenfassung
von VulDB • 04.06.2026
MessagePack for Java ist eine Serialisierungsimplementierung für Java. In Versionen vor 0.9.11 besteht eine Denial-of-Service-Schwachstelle beim Deserialisieren von .msgpack-Dateien, die EXT32-Objekte mit vom Angreifer kontrollierten Payload-Längen enthalten. Obwohl MessagePack-Java Erweiterungsheader lazy (verzögert) parst, vertraut es später der deklarierten EXT-Payload-Länge bei der Materialisierung der Erweiterungsdaten. Wenn ExtensionValue.getData() aufgerufen wird, versucht die Bibliothek, ein Byte-Array mit der deklarierten Länge zuzuweisen, ohne eine Obergrenze durchzusetzen. Eine bösartige .msgpack-Datei von nur wenigen Bytes kann daher zu einer unbegrenzten Heap-Zuweisung führen, was zur Erschöpfung des JVM-Heaps, zum Prozessabbruch oder zur Nichtverfügbarkeit des Dienstes führt. Diese Schwachstelle wird während des Modellladens / der Deserialisierung ausgelöst und stellt somit eine Modellschwachstelle dar, die für Remote-Exploitation geeignet ist. Die Schwachstelle ermöglicht einen remote auslösbaren Denial-of-Service-Angriff auf Anwendungen, die untrusted .msgpack-Modelldateien mit MessagePack for Java deserialisieren. Eine speziell angefertigte, aber syntaktisch gültige .msgpack-Datei, die ein EXT32-Objekt mit einer vom Angreifer kontrollierten und übermäßig großen Payload-Länge enthält, kann während der Deserialisierung zu unbegrenzter Speicherallokation führen. Wenn die Modelldatei geladen wird, vertraut die Bibliothek den deklarierten Längenmetadaten und versucht, ein Byte-Array dieser Größe zuzuweisen, was zu einer schnellen Heap-Erschöpfung, übermäßiger Garbage Collection oder einem sofortigen JVM-Abbruch mit einem OutOfMemoryError führt. Der Angriff erfordert keine fehlerhaften Bytes, Benutzerinteraktion oder erhöhte Berechtigungen und kann remote in realen Umgebungen wie Model Registrys, Inferenzdiensten, CI/CD-Pipelines und cloudbasierten Modellhosting-Plattformen ausgenutzt werden, die .msgpack-Artefakte akzeptieren oder abrufen. Da die bösartige Datei extrem klein, aber dennoch gültig ist, kann sie grundlegende Validierungs- und Scanning-Mechanismen umgehen, was zu einer vollständigen Dienstunverfügbarkeit und potenziellen Kaskadenfehlern in Produktionssystemen führt. Version 0.9.11 behebt die Schwachstelle.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.