解压器可能导致 JVM 崩溃并泄露 Aircompressor 中的内存内容（CVE-2024-36114）
CVE编号
CVE-2024-36114利用情况
暂无补丁情况
N/A披露时间
2024-05-30漏洞描述
Aircompressor是一个将Snappy、LZO、LZ4和Zstandard压缩算法移植到Java的库。Aircompressor的所有解压缩器实现(LZ4、LZO、Snappy、Zstandard)都可以在特定输入下导致JVM崩溃，并且在某些情况下还会泄露Java进程的其他内存内容(可能包含敏感信息)。在解压缩特定数据时，解压缩器尝试访问给定字节数组或字节缓冲区范围之外的内存。由于Aircompressor使用JDK类`sun.misc.Unsafe`加快内存访问，因此不执行额外的边界检查，这与C或C++中的越界访问具有类似的安全后果，即可能导致非确定性行为或使JVM崩溃。用户应更新到Aircompressor 0.27或更新版本，以解决这些问题。在从不受信任的用户解压缩数据时，可以利用此漏洞进行拒绝服务攻击，使JVM崩溃，或从Java进程中泄露其他敏感信息。目前对于这个问题没有已知的解决方法。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 无
- 影响范围 未更改
- 用户交互 无
- 可用性 高
- 保密性 低
- 完整性 低
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论