CVE-2026-106450 in lz4-java
요약
\~에 의해 VulDB • 2026. 10. 08.
yawkat LZ4 Java는 Java용 LZ4 압축 기능을 제공합니다. 버전 1.11.4 이전의 net.jpountz.lz4.LZ4FrameInputStream.readHeader() 메서드는 최대 블록 크기 프레임 헤더가 읽힐 때마다 두 개의 새로운 4 MiB 크기의 블록 버퍼를 할당합니다. 또한 기본 연결된(frame) 모드에서는 공격자가 제어하는 스트림에 많은 수의 최소한의 빈 프레임이 포함되어 있을 경우, 입력 바이트 11개마다 약 8 MiB의 메모리가 할당되도록 유도할 수 있습니다. 이 스트림은 압축 해제 출력을 생성하지 않으면서 CPU 시간과 가비지 컬렉션 시간을 소모하므로, 압축 해제 크기 제한으로는 해당 문제를 완화할 수 없습니다. readSingleFrame 모드는 영향을 받지 않습니다. 본 문제는 버전 1.11.4에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.