CVE-2024-36114
WysokieStreszczenie
Aircompressor to biblioteka implementująca algorytmy kompresji Snappy, LZO, LZ4 i Zstandard w Javie. Wszystkie implementacje dekompresorów w Aircompressor mogą spowodować awarię JVM przy określonych danych wejściowych oraz w niektórych przypadkach ujawniać zawartość innej pamięci procesu Java, co może zawierać wrażliwe informacje.
Ocena ryzyka
Dla organizacji ryzyko polega na możliwości awarii JVM, co może prowadzić do ataków typu denial-of-service oraz potencjalnego wycieku wrażliwych danych. Użytkownicy powinni być szczególnie ostrożni przy dekompresji danych z niezaufanych źródeł.
Rekomendacja
Zaleca się aktualizację do Aircompressor w wersji 0.27 lub nowszej, w której te problemy zostały naprawione. Należy również unikać dekompresji danych pochodzących z niezaufanych źródeł.
Powiązane podatności
- CVE-2026-105285Krytyczne
Wykryto podatność w urządzeniu Totolink A3002MU w wersji 1.0.0-B20230403.1455. Dotyczy ona nieznanej funkcji w pliku /boafrm/formIpQoS komponentu QoS Rule Handler. Manipulacja argumentami addQos/comment/entry_name prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-105284Krytyczne
Zidentyfikowano słabość w urządzeniu Totolink A3002MU w wersji 1.0.0-B20230403.1455. Dotyczy ona funkcji sub_40FCFC w pliku /bin/boa komponentu Authentication Check. Wykonanie manipulacji może prowadzić do nieprawidłowej autoryzacji. Atak może być uruchomiony zdalnie, a exploit został publicznie udostępniony.
- CVE-2026-103510Krytyczne
P4 Search w wersjach przed 2026.4.2 nie zabezpiecza się w sposób bezpieczny, gdy jego token uwierzytelniania usługi jest pusty. W dotkniętych konfiguracjach nieuwierzytelniony atakujący z dostępem do sieci może uzyskać najwyższy poziom uprawnień aplikacji, co może prowadzić do naruszenia bezpieczeństwa P4 Search i połączonego serwera P4.
- CVE-2026-100103Krytyczne
Obrazy kontenerów Perforce P4 Search przed wersją 2026.4.2 resetują token uwierzytelniania usługi do publicznie udokumentowanej wartości domyślnej. Nieuwierzytelniony atakujący z dostępem do sieci może uzyskać najwyższy poziom uprawnień aplikacji, co może prowadzić do wykonania dowolnego kodu i naruszenia bezpieczeństwa połączonego serwera P4.
- CVE-2026-100102Krytyczne
Obrazy kontenerów Perforce P4 Search przed wersją 2026.4.2 włączają nieuwierzytelniony interfejs debugowania Java. Atakujący z dostępem sieciowym do tego interfejsu może wykonać dowolny kod jako konto usługi P4 Search, co może prowadzić do naruszenia bezpieczeństwa połączonego serwera P4.
- CVE-2026-105215Krytyczne
ZITADEL przed wersją 3.4.14 oraz 4.x przed 4.16.2 zawiera obejście uwierzytelniania w hostowanym interfejsie Login V1, ponieważ punkt końcowy rejestracji 'external account not found' ufa dostarczonym przez klienta polom tożsamości zewnętrznej bez ukończonego wywołania zwrotnego IdP. Nieuwierzytelnieni atakujący mogą przesłać sfałszowane wartości IDPConfigID i ExternalUserID, aby wstępnie utworzyć konto powiązane z tożsamością zewnętrznego IdP ofiary, do którego późniejsze autentyczne logowanie zewnętrzne ofiary uzyska dostęp.
- CVE-2026-105209Krytyczne
ZITADEL 3.x przed 3.4.15 oraz 4.x przed 4.17.1 zawiera podatność nieprawidłowej autoryzacji: przy wydawaniu kodów rejestracji passkey lub logowania bez hasła sprawdza tylko organizację w nagłówku x-zitadel-orgid, a nie organizację docelowego użytkownika. Atakujący z uprawnieniami do zapisu użytkownika w jednej organizacji może uzyskać kod rejestracji dla użytkownika w innej organizacji w tej samej instancji i zarejestrować własny uwierzytelniacz, aby przejąć to konto.
- CVE-2026-105207Krytyczne
ZITADEL 3.0.0 do 3.4.15 oraz 4.0.0 przed 4.17.3 tworzy powiązania między kontami użytkowników a zewnętrznymi dostawcami tożsamości bez weryfikacji czynnika podstawowego lub uprawnień wywołującego, w tym w sesjach Login V2 typu identify-only oraz przez punkt końcowy User Service V2 AddIDPLink. Nieuwierzytelniony atakujący znający login ofiary może powiązać własną tożsamość zewnętrznego IdP z kontem ofiary, a następnie zalogować się jako ofiara.
- CVE-2026-103355Krytyczne
Wtyczka Unlimited Elements For Elementor do wersji 2.0.20 zawiera podatność na ślepą iniekcję SQL. Atakujący może wykorzystać ten błąd do manipulacji zapytaniami do bazy danych bez znajomości jej struktury.
- CVE-2026-105135Krytyczne
W systemie InternLM MindSearch 0.1.0 wykryto podatność na iniekcję kodu w funkcji ExecutionAction.run w pliku mindsearch/agent/graph.py. Atak może być przeprowadzony zdalnie, a szczegóły exploit zostały publicznie ujawnione.
Oryginalny opis (angielski, źródło NVD)
Aircompressor is a library with ports of the Snappy, LZO, LZ4, and Zstandard compression algorithms to Java. All decompressor implementations of Aircompressor (LZ4, LZO, Snappy, Zstandard) can crash the JVM for certain input, and in some cases also leak the content of other memory of the Java process (which could contain sensitive information). When decompressing certain data, the decompressors try to access memory outside the bounds of the given byte arrays or byte buffers. Because Aircompressor uses the JDK class `sun.misc.Unsafe` to speed up memory access, no additional bounds checks are performed and this has similar security consequences as out-of-bounds access in C or C++, namely it can lead to non-deterministic behavior or crash the JVM. Users should update to Aircompressor 0.27 or newer where these issues have been fixed. When decompressing data from untrusted users, this can be exploited for a denial-of-service attack by crashing the JVM, or to leak other sensitive information
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS