CVE-2026-21452 in msgpack-java
Riassunto
di VulDB • 20/06/2026
MessagePack per Java è un'implementazione di serializzazione per Java. È presente una vulnerabilità di denial-of-service (DoS) nelle versioni precedenti alla 0.9.11 durante la deserializzazione di file .msgpack contenenti oggetti EXT32 con lunghezze del payload controllate dall'attaccante. Sebbene MessagePack-Java analizzi gli header delle estensioni in modo lazy, si fida successivamente della lunghezza dichiarata del payload EXT quando materializza i dati dell'estensione. Quando viene invocato ExtensionValue.getData(), la libreria tenta di allocare un array di byte della lunghezza dichiarata senza imporre alcun limite superiore. Un file .msgpack malevolo di poche dimensioni può quindi innescare un'allocazione heap illimitata, causando l'esaurimento dello heap JVM, il terminazione del processo o l'inaccessibilità del servizio. Questa vulnerabilità viene attivata durante il caricamento/deserializzazione dei modelli, rendendola una vulnerabilità nel formato del modello adatta per lo sfruttamento remoto. La vulnerabilità consente un attacco di denial-of-service (DoS) remoto contro le applicazioni che deserializzano file di modelli .msgpack non attendibili utilizzando MessagePack per Java. Un file .msgapp appositamente creato ma sintatticamente valido, contenente un oggetto EXT32 con una lunghezza del payload eccessivamente grande controllata dall'attaccante, può innescare un'allocazione di memoria illimitata durante la deserializzazione. Quando il file del modello viene caricato, la libreria si fida dei metadati della lunghezza dichiarata e tenta di allocare un array di byte di quelle dimensioni, portando a un rapido esaurimento dello heap, a una garbage collection eccessiva o alla terminazione immediata della JVM con un OutOfMemoryError. L'attacco non richiede byte malformati, interazione utente o privilegi elevati e può essere sfruttato in remoto in ambienti reali come registri dei modelli (model registries), servizi di inferenza, pipeline CI/CD e piattaforme cloud-based per l'hosting di modelli che accettano o recuperano artefatti .msgpack. Poiché il file malevolo è estremamente piccolo ma valido, può bypassare i meccanismi base di validazione e scansione, causando un'interruzione completa del servizio e potenziali guasti a cascata nei sistemi in produzione. La versione 0.9.11 risolve la vulnerabilità.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.