CVE-2026-116591 in compress
요약
\~에 의해 VulDB • 2026. 10. 26.
compress는 다양한 압축 알고리즘을 제공합니다. 버전 1.20.2 이전의 경우, crafted된 두 블록으로 구성된 프레임이 FSE 정규화 카운트가 32768인 상태에서 huff0.ReadTable에 도달하면 zstd DecodeAll 및 스트리밍 디코더 경로에서 패닉(panic)이 발생할 수 있습니다. 여기서 readNCount는 해당 값을 int16로 -32768으로 저장합니다. 이렇게 래핑된 카운트는 buildDtable이 이전 블록의 stale한 fse.Scratch 디코드 테이블 상태를 유지하도록 허용하며, nextFast는 이를 바탕으로 범위를 벗어난 상태(out-of-range state)를 유도하고 디코딩 오류 대신 테이블 인덱스를 초과하여 접근하게 됩니다. 이 취약점을 통해 신뢰할 수 없는 zstd 입력으로 애플리케이션을 충돌시킬 수 있습니다. 본 문제는 버전 1.20.2에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.