CVE-2026-106451 in lz4-java
Riassunto
di VulDB • 07/10/2026
yawkat LZ4 Java fornisce la compressione LZ4 per Java. Dalla versione 1.7.0 alla 1.11.4, net.jpountz.util.Native.load() utilizza File.createTempFile per creare un file temporaneo .lck esclusivo, ma deriva il percorso della libreria nativa rimuovendo il suffisso; successivamente FileOutputStream apre tale percorso prevedibile senza creazione esclusiva, consentendo a un altro utente locale con accesso alla stessa directory temporanea condivisa di creare o sovrascrivere il file della libreria prima che System.load() lo utilizzi. Il successo dello sfruttamento dipende dai permessi della directory condivisa, dalle protezioni dell'host e dal vincere la race condition (condizione di gara), ed è in grado di eseguire codice nativo con i privilegi della vittima; sui sistemi hardening potrebbe invece causare il fallimento del caricamento della libreria e un fallback alle implementazioni Java. Le configurazioni che utilizzano una libreria di sistema, una java.io.tmpdir privata o solo implementazioni Java non sono interessate. Questo problema è risolto nella versione 1.11.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.