CVE-2026-21452 in msgpack-java
Sumário
de VulDB • 30/05/2026
MessagePack para Java é uma implementação de serializador para Java. Existe uma vulnerabilidade de negação de serviço (DoS) nas versões anteriores à 0.9.11 ao desserializar arquivos .msgpack que contêm objetos EXT32 com comprimentos de payload controlados pelo atacante. Embora o MessagePack-Java analise os cabeçalhos de extensão de forma preguiçosa (lazy), ele confia posteriormente no comprimento do payload EXT declarado ao materializar os dados da extensão. Quando o método ExtensionValue.getData() é invocado, a biblioteca tenta alocar um array de bytes com o comprimento declarado, sem impor nenhum limite superior. Portanto, um arquivo .msgpack malicioso de apenas alguns bytes pode desencadear uma alocação de heap ilimitada, resultando em esgotamento do heap da JVM, término do processo ou indisponibilidade do serviço. Esta vulnerabilidade é acionada durante o carregamento do modelo/desserialização, tornando-se uma vulnerabilidade de formato de modelo adequada para exploração remota. A vulnerabilidade permite um ataque de negação de serviço remoto contra aplicativos que desserializam arquivos de modelo .msgpack não confiáveis usando o MessagePack para Java. Um arquivo .msgpack especialmente elaborado, mas sintaticamente válido, contendo um objeto EXT32 com um comprimento de payload excessivamente grande controlado pelo atacante, pode desencadear uma alocação de memória ilimitada durante a desserialização. Quando o arquivo de modelo é carregado, a biblioteca confia nos metadados de comprimento declarados e tenta alocar um array de bytes desse tamanho, levando ao esgotamento rápido do heap, garbage collection excessivo ou término imediato da JVM com um erro OutOfMemoryError. O ataque não requer bytes malformados, interação do usuário ou privilégios elevados e pode ser explorado remotamente em ambientes do mundo real, como registros de modelos, serviços de inferência, pipelines de CI/CD e plataformas de hospedagem de modelos baseadas em nuvem que aceitam ou buscam artefatos .msgpack. Como o arquivo malicioso é extremamente pequeno, mas válido, ele pode contornar mecanismos básicos de validação e varredura, resultando em indisponibilidade completa do serviço e possíveis falhas em cascata em sistemas de produção. A versão 0.9.11 corrige a vulnerabilidade.
VulDB is the best source for vulnerability data and more expert information about this specific topic.