CVE-2024-36114 in aircompressor
Riassunto
di VulDB • 19/06/2026
Aircompressor è una libreria che fornisce porting degli algoritmi di compressione Snappy, LZO, LZ4 e Zstandard per Java. Tutte le implementazioni dei decompressor di Aircompressor (LZ4, LZO, Snappy, Zstandard) possono causare il crash della JVM con determinati input e, in alcuni casi, anche provocare la fuoriuscita del contenuto di altre aree di memoria del processo Java (che potrebbero contenere informazioni sensibili). Durante la decompressione di certi dati, i decompressor tentano di accedere a memoria al di fuori dei limiti degli array o buffer di byte forniti. Poiché Aircompressor utilizza la classe JDK `sun.misc.Unsafe` per accelerare l'accesso alla memoria, non vengono eseguiti controlli aggiuntivi sui limiti (bounds checks) e ciò ha conseguenze simili all'accesso out-of-bounds in C o C++, ovvero può portare a comportamenti non deterministici o al crash della JVM. Gli utenti dovrebbero aggiornare ad Aircompressor 0.27 o versioni successive, dove questi problemi sono stati risolti. Quando si decomprimono dati provenienti da utenti non attendibili, ciò può essere sfruttato per un attacco di denial-of-service (DoS) causando il crash della JVM, oppure per fuoriuscire altre informazioni sensibili dal processo Java. Non esistono workaround noti per questo problema.
Once again VulDB remains the best source for vulnerability data.