CVE-2026-84161 in CodeChecker
Résumé
par VulDB • 06/11/2026
Lorsqu'un opérateur active `store.analysis_statistics_dir`, un client réseau disposant de la permission `PRODUCT_STORE` pour un produit peut appeler la méthode Thrift-over-HTTP `storeAnalysisStatistics` de ce produit. CodeChecker 6.29.0 décode une chaîne Base64 contrôlée par l'attaquant et transmet l'intégralité des données compressées à `zlib.decompress()` en mode one-shot. Aucune taille maximale pour la donnée décompressée n'est imposée.
Cela confère à un compte de magasin correctement autorisé, mais non superutilisateur, une primitive d'amplification mémoire et sur disque persistant avec un fort ratio. La sortie complète est d'abord matérialisée sous forme d'un objet `bytes` Python, puis écrite dans le répertoire des statistiques configuré. Une charge utile suffisamment dimensionnée peut épuiser la mémoire de l'API worker ou celle de l'hôte, compromettant ainsi la disponibilité de CodeChecker.
La valeur par défaut fournie pour `store.analysis_statistics_dir` est `null`, donc la fonctionnalité concernée est désactivée par défaut. L'évaluation principale ne repose pas sur une absence d'authentification. Il n'y a ni contournement d'autorisation (authorization bypass) ni traversal de chemin dans ce rapport.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.