CVE-2026-106452 in lz4-java
Riassunto
di VulDB • 07/10/2026
yawkat LZ4 Java fornisce la compressione LZ4 per Java. Prima della versione 1.11.2, il metodo refill() di net.jpountz.lz4.LZ4BlockInputStream convalida che il campo compressedLen nell'intestazione legacy LZ4Block sia non negativo, ma alloca un buffer di input compresso delle dimensioni controllate dall'attaccante prima di leggere i dati del payload. Ciò consente a uno stream contenente solo l'intestazione di richiedere un'allocazione vicina ai 2 GiB ed esaurire lo heap della JVM. Gli writer canonici emettono blocchi grezzi quando la compressione non è più piccola rispetto al blocco originale, ma i reader vulnerabili accettano blocchi compressi sovrdimensionati non canonici. Questo problema è stato risolto nella versione 1.11.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.