CVE-2026-109395
CVE-2026-109395 · Ning compress-lzf before 1.2.0 Out-of-Bounds Memory Access via UnsafeChunkDecoder
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Ning compress-lzf before 1.2.0 contains an out-of-bounds memory access vulnerability in the sun.misc.Unsafe based UnsafeChunkDecoder that fails to validate back-references and literal runs. Attackers can supply crafted LZF streams to applications using the default LZFDecoder to leak unrelated JVM heap memory into decompressed output or crash the JVM.
CVSS 8.8 · Alta · EPSS 0,5% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system
Productos y versiones afectados
compress-lzf
- Versiones
- ≥ 0, < 1.2.0: Afectada (semver)
Actualiza a 1.2.0
compress-lzf Debian:12
- Versiones
- 1.0.4-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
compress-lzf Debian:13
- Versiones
- 1.0.4-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
compress-lzf Debian:14
- Versiones
- 1.0.4-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
compress-lzf Ubuntu:16.04:LTS
- Versiones
- 1.0.3-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
compress-lzf Ubuntu:18.04:LTS
- Versiones
- 1.0.3-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
compress-lzf Ubuntu:20.04:LTS
- Versiones
- 1.0.4-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
compress-lzf Ubuntu:22.04:LTS
- Versiones
- 1.0.4-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
compress-lzf Ubuntu:24.04:LTS
- Versiones
- 1.0.4-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
compress-lzf Ubuntu:26.10
- Versiones
- 1.0.4-1build1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
compress-lzf Ubuntu:26.04:LTS
- Versiones
- 1.0.4-1
- 1.0.4-1build1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
Fuentes originales
- https://github.com/ning/compress/pull/68
- https://github.com/ning/compress/commit/06bdc3744a96b736a7118891f403e44c664f108b
- https://github.com/ning/compress/blob/compress-lzf-1.1.3/src/main/java/com/ning/compress/lzf/impl/UnsafeChunkDecoder.java#L104
- https://github.com/github/securitylab/discussions/970
- https://github.com/ning/compress
- https://www.vulncheck.com/advisories/ning-compress-lzf-before-1.2.0-out-of-bounds-memory-access-via-unsafechunkdecoder
- https://nvd.nist.gov/vuln/detail/CVE-2026-109395