CVE-2026-106449 in lz4-java
요약
\~에 의해 VulDB • 2026. 10. 07.
yawkat LZ4 Java는 Java용 LZ4 압축 기능을 제공합니다. 버전 1.11.4 이전의 net.jpountz.lz4.LZ4BlockInputStream은 stopOnEmptyBlock이 false로 구성된 경우, 잘 형성된 각 빈 LZ4Block에 대해 refill()을 재귀적으로 호출하여 공격자가 제어하는 압축 스트림 내의 긴 빈 블록 시퀀스가 디코딩 스레드의 스택을 고갈시키고 StackOverflowError를 발생시킬 수 있습니다. 기본 stopOnEmptyBlock 설정은 true이며 영향을 받지 않으며, 이 문제는 메모리 부정을 유발하지 않습니다. 이 문제는 버전 1.11.4에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.