p PatchFirst

CVE-2026-109395

CVE-2026-109395 · Ning compress-lzf before 1.2.0 Out-of-Bounds Memory Access via UnsafeChunkDecoder

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Ning compress-lzf before 1.2.0 contains an out-of-bounds memory access vulnerability in the sun.misc.Unsafe based UnsafeChunkDecoder that fails to validate back-references and literal runs. Attackers can supply crafted LZF streams to applications using the default LZFDecoder to leak unrelated JVM heap memory into decompressed output or crash the JVM.

CVSS 8.8 · Élevée · EPSS 0,5% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system

Produits et versions concernés

  • compress-lzf

    Versions du logiciel
    • ≥ 0, < 1.2.0: Concernée (semver)

    Mettez à jour vers 1.2.0

  • compress-lzf Debian:12

    Versions du logiciel
    • 1.0.4-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • compress-lzf Debian:13

    Versions du logiciel
    • 1.0.4-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • compress-lzf Debian:14

    Versions du logiciel
    • 1.0.4-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • compress-lzf Ubuntu:16.04:LTS

    Versions du logiciel
    • 1.0.3-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • compress-lzf Ubuntu:18.04:LTS

    Versions du logiciel
    • 1.0.3-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • compress-lzf Ubuntu:20.04:LTS

    Versions du logiciel
    • 1.0.4-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • compress-lzf Ubuntu:22.04:LTS

    Versions du logiciel
    • 1.0.4-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • compress-lzf Ubuntu:24.04:LTS

    Versions du logiciel
    • 1.0.4-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • compress-lzf Ubuntu:26.10

    Versions du logiciel
    • 1.0.4-1build1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • compress-lzf Ubuntu:26.04:LTS

    Versions du logiciel
    • 1.0.4-1
    • 1.0.4-1build1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →