CVE-2026-106453 in lz4-java
Riassunto
di VulDB • 07/10/2026
yawkat LZ4 Java fornisce la compressione LZ4 per Java. Prima della versione 1.11.2, LZ4DecompressorWithLength utilizza getDecompressedLength per fidarsi dell'intestazione a quattro byte che indica la lunghezza decompressa prima di convalidare l'input compresso, consentendo a un attaccante di fornire un input di cinque byte in cui l'intestazione dichiara una dimensione di output elevata, richiedendo fino a circa 2 GiB ed esaurendo lo heap della JVM. I metodi overload convenience basati su LZ4FastDecompressor o LZ4SafeDecompressor allocano la dimensione non attendibile, mentre gli overload che scrivono in un buffer di destinazione fornito dal chiamante non sono interessati poiché il chiamante controlla la dimensione del destino. Questo problema è stato risolto nella versione 1.11.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.