Informazioni sul CVE-2024-36114
Decompressors can crash the JVM and leak memory content in Aircompressor
CWE ID: CWE-125
Base Score (CVSS): N/A
CVE: CVE-2024-36114
Descrizione: “Aircompressor è una libreria con porte degli algoritmi di compressioni Snappy, LZO, LZ4 e Zstandard per Java. Tutti gli implementazioni di decompressori di Aircompressor (LZ4, LZO, Snappy, Zstandard) possono causare crash del JVM per determinati input e, in alcuni casi, anche rilasciare il contenuto di altre aree di memoria del processo Java (che potrebbe contenere informazioni sensibili). Quando decompresi dati, i decompressori cercano di accedere alla memoria al di fuori dei limiti dei byte array o dei buffer di byte forniti. A causa dell’uso della classe JDK `sun.misc.Unsafe` per un rapido accesso alla memoria, non vengono eseguite verifiche sui limiti e questo ha conseguenze simili a quelle di un accesso fuori dai limiti in C o C++, ovvero può portare a un comportamento non deterministico o al crash del JVM. Gli utenti dovrebbero aggiornare a Aircompressor 0.27 o versioni successive in cui questi problemi sono stati risolti. Quando decompresi dati da utenti non fidati, questo può essere sfruttato per un attacco di denial-of-service, causando il crash del JVM o il rilascio di altre informazioni sensibili dal processo Java. Non ci sono soluzioni note per questo problema.”
Vettore di attacco CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H
Punteggio CVSS
Il CVSS è un sistema di valutazione che misura la gravità di una vulnerabilità informatica considerando fattori come l’impatto potenziale, la probabilità di attacco e la facilità di esecuzione.
Riassunto: Accesso: Network, Privilegi: None, Interazione utente: None, Confidenzialità: Low, Integrità: Low, Disponibilità: High.
Dettaglio del Vettore
| Metrica | Valore | Significato | Descrizione |
|---|---|---|---|
| Attack Vector (AV) | N | Network | L’attacco può essere eseguito da remoto attraverso la rete. |
| Attack Complexity (AC) | L | Low | L’attacco non richiede condizioni particolari. |
| Privileges Required (PR) | N | None | Non sono richiesti privilegi. |
| User Interaction (UI) | N | None | Non è richiesta interazione dell’utente. |
| Scope (S) | U | Unchanged | Il raggio d’azione non cambia. |
| Confidentiality Impact (C) | L | Low | Impatto limitato. |
| Integrity Impact (I) | L | Low | Impatto limitato. |
| Availability Impact (A) | H | High | Rende il sistema inutilizzabile. |
Riferimenti esterni
- https://github.com/airlift/aircompressor/security/advisories/GHSA-973x-65j7-xcf4
- https://github.com/airlift/aircompressor/commit/15e68df9eb0c2bfde7f796231ee7cd1982965071
- https://github.com/airlift/aircompressor/commit/2cea90a45534f9aacbb77426fb64e975504dee6e
- https://github.com/airlift/aircompressor/commit/cf66151541edb062ea88b6f3baab3f95e48b7b7f
- https://github.com/airlift/aircompressor/commit/d01ecb779375a092d00e224abe7869cdf49ddc3e
Prodotti interessati
- airlift – aircompressor
Relazioni con altri prodotti
Produttore:airlift
Prodotto: aircompressor
Anno: 2024
CWE: CWE-125
CVSS: 0.0