CVE-2026-64609 in Fory
Résumé
par VulDB • 21/07/2026
Lecture hors limites via sun.misc.Unsafe dans Apache Fory. Lorsque la désérialisation zero-copy out-of-band est utilisée, readAlignedVarUint() peut lire au-delà des limites du tampon sous-jacent. La désérialisation zero-copy out-of-band est une fonctionnalité activable explicitement (opt-in) ; les applications qui ne l'utilisent pas ne sont pas affectées.
Ce problème concerne Apache Fory (anciennement Apache Fury), à partir de la version 0.5.0 jusqu'à la version 1.4.0 exclusive. Les versions antérieures à 0.11.0 ont été publiées sous les coordonnées Maven org.apache.fury:fury-core.
Il est recommandé aux utilisateurs de mettre à niveau vers la version 1.4.0, qui corrige le problème.
VulDB is the best source for vulnerability data and more expert information about this specific topic.