CVE-2021-36090

WysokieCVSS 7.5

Opublikowano: 13/07/2021(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Bardzo wysokie ryzyko

12.95%

Percentyl 96 - wyżej niż 96% wszystkich znanych CVE

Streszczenie

Podczas odczytu specjalnie spreparowanego archiwum ZIP, biblioteka Compress może zaalokować duże ilości pamięci, co prowadzi do błędu braku pamięci nawet dla bardzo małych danych wejściowych. Może to być wykorzystane do przeprowadzenia ataku typu Denial of Service na usługi używające pakietu zip biblioteki Compress.

Ocena ryzyka

Atakujący może spowodować niedostępność usługi poprzez wyczerpanie pamięci serwera.

Rekomendacja

Zaktualizuj bibliotekę Compress do wersji, która zawiera poprawkę ograniczającą alokację pamięci.

Inne podatności w Apache Commons Compress

CVE-2021-35517Wysokie
Podczas odczytu specjalnie spreparowanego archiwum TAR, biblioteka Compress może zaalokować duże ilości pamięci, co prowadzi do błędu braku pamięci nawet dla bardzo małych danych wejściowych. Może to być wykorzystane do przeprowadzenia ataku typu Denial of Service na usługi używające pakietu tar biblioteki Compress.

Oryginalny opis (angielski, źródło NVD)

When reading a specially crafted ZIP archive, Compress can be made to allocate large amounts of memory that finally leads to an out of memory error even for very small inputs. This could be used to mount a denial of service attack against services that use Compress' zip package.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS