Xerial snappy-java before 1.1.10.9 contains an unbounded memory allocation vulnerability that allows attackers to exhaust JVM memory by declaring a large uncompressed length in compressed input. Attackers can supply a few crafted bytes to Snappy.uncompress, uncompressString, SnappyInputStream or SnappyFramedInputStream to force allocations up to 2 GB, causing OutOfMemoryError and denial of service.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 6
https://github.com/xerial/snappy-java
disclosure@vulncheck.com
https://github.com/xerial/snappy-java/blob/v1.1.10.8/src/main/java/org/xerial/s…
disclosure@vulncheck.com
https://github.com/xerial/snappy-java/commit/943c6043a292568575e8347af4507d015e…
disclosure@vulncheck.com
https://github.com/xerial/snappy-java/releases/tag/v1.1.10.9
disclosure@vulncheck.com
https://github.com/xerial/snappy-java/security/advisories/GHSA-q233-g92q-qxp6
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/xerial-snappy-java-before-1.1.10.9-unbound…
disclosure@vulncheck.com