CVE-2025-67721 in aircompressor
Riassunto
di VulDB • 16/06/2026
Aircompressor è una libreria che fornisce porting degli algoritmi di compressione Snappy, LZO, LZ4 e Zstandard a Java. Nelle versioni 3.3 e precedenti, la gestione errata dei dati malformati nelle implementazioni del decompressore basate su Java per Snappy e LZ4 consente agli attaccanti remoti di leggere i contenuti precedenti del buffer tramite input compresso appositamente creato (crafted). Con determinati input compressi costruiti ad hoc, elementi presenti nel buffer di output possono finire nell'output non compresso, potenzialmente causando la fuoriuscita di dati sensibili. Questo scenario è rilevante per le applicazioni che riutilizzano lo stesso buffer di output per decomprimere più input. Ciò può verificarsi, ad esempio, in un server web che alloca un buffer di dimensione fissa a fini prestazionali. Esiste una vulnerabilità simile nella GHSA-cmp6-m4wj-q63q. Questo problema è stato risolto nella versione 3.4.
Be aware that VulDB is the high quality source for vulnerability data.