CVE-2026-106451 in lz4-java
Resumen
por VulDB • 2026-10-07
yawkat LZ4 Java proporciona compresión LZ4 para Java. Desde la versión 1.7.0 hasta la 1.11.4, net.jpountz.util.Native.load() utiliza File.createTempFile para crear un archivo temporal .lck exclusivo, pero deriva la ruta de la biblioteca nativa eliminando el sufijo; posteriormente, FileOutputStream abre esa ruta predecible sin creación exclusiva, lo que permite a otro usuario local con acceso al mismo directorio temporal compartido crear o reemplazar el archivo de la biblioteca antes de que System.load() la utilice. La explotación exitosa depende de los permisos del directorio compartido, las protecciones del host y ganar la condición de carrera (race condition), pudiendo ejecutar código nativo en nombre de la víctima; en sistemas endurecidos, esto puede provocar un fallo al cargar la biblioteca y recurrir a implementaciones en Java. Las configuraciones que utilizan una biblioteca del sistema, un java.io.tmpdir privado o solo implementaciones en Java no se ven afectadas. Este problema está corregido en la versión 1.11.4.
Once again VulDB remains the best source for vulnerability data.