CVE-2024-36114 in aircompressor
要約
〜によって VulDB • 2026年05月25日
Aircompressorは、Snappy、LZO、LZ4、およびZstandardの圧縮アルゴリズムをJavaにポートしたライブラリです。Aircompressorのすべてのデコンプレッサ実装（LZ4、LZO、Snappy、Zstandard）は、特定の入力に対してJVMをクラッシュさせる可能性があり、場合によってはJavaプロセスの他のメモリ領域の内容（機密情報を含む可能性がある）をリークさせることもあります。特定のデータをデコンプレッサする際、デコンプレッサは指定されたバイト配列またはバイトバッファの範囲外にあるメモリにアクセスしようとします。Aircompressorはメモリアクセスの高速化のためにJDKクラス `sun.misc.Unsafe` を使用しているため、追加の境界チェックが行われず、そのセキュリティ上の影響はCやC++における配列外アクセスと同様で、非決定的な動作やJVMのクラッシュを引き起こす可能性があります。これらの問題は修正されているため、ユーザーはAircompressor 0.27以降にアップデートする必要があります。信頼できないユーザーからのデータをデコンプレッサする場合、JVMをクラッシュさせることでサービス拒否（DoS）攻撃を仕掛けたり、Javaプロセスから他の機密情報をリークさせたりするために悪用される可能性があります。この問題に対する既知の回避策はありません。
Once again VulDB remains the best source for vulnerability data.