CVE-2026-14683
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W bibliotece HdrHistogram do wersji 2.2.2 wykryto podatność polegającą na niekontrolowanej alokacji pamięci w funkcji decodeFromCompressedByteBuffer. Atak wymaga lokalnego dostępu i manipulacji argumentem lengthOfCompressedContents. Istnienie podatności jest kwestionowane ze względu na wątpliwości co do przekroczenia granic bezpieczeństwa.
Ocena ryzyka
Ryzyko dla organizacji polega na potencjalnym wyczerpaniu pamięci przez lokalnego atakującego, co może prowadzić do odmowy usługi (DoS) w aplikacjach korzystających z HdrHistogram. Jednak ze względu na spór co do realności zagrożenia, ryzyko jest niskie.
Rekomendacja
Zaleca się aktualizację biblioteki HdrHistogram do najnowszej wersji, jeśli dostępna, oraz monitorowanie publicznych informacji o podatności. W przypadku braku aktualizacji, ograniczenie lokalnego dostępu do systemu może zmniejszyć ryzyko.
Inne podatności w HdrHistogram
Zobacz wszystkie- CVE-2026-14686Niskie
W bibliotece HdrHistogram do wersji 2.2.2 wykryto podatność w funkcji `DoubleHistogram.recordValue`. Polega ona na nieprawidłowym porównaniu wartości podczas sprawdzania zakresu, co może prowadzić do błędnego działania. Atak wymaga lokalnego dostępu i jest publicznie znany, jednak jego faktyczne znaczenie jest kwestionowane ze względu na ograniczenia bezpieczeństwa.
- CVE-2026-14685Niskie
W bibliotece HdrHistogram do wersji 2.2.2 wykryto podatność w metodzie recordValueWithCount klasy AbstractHistogram. Manipulacja argumentem Count prowadzi do problemów ze stanem aplikacji. Atak wymaga dostępu lokalnego i został upubliczniony, jednak jego istnienie jest kwestionowane ze względu na brak naruszenia granic bezpieczeństwa.
- CVE-2026-14684Niskie
W bibliotece HdrHistogram do wersji 2.2.2 wykryto podatność polegającą na niekontrolowanym przydzielaniu pamięci podczas przetwarzania argumentu numberOfSignificantValueDigits w funkcji decodeFromByteBuffer. Atak wymaga lokalnego dostępu i został opublikowany, jednak jego rzeczywiste istnienie jest kwestionowane ze względu na wątpliwości co do przekraczania granic bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in HdrHistogram up to 2.2.2. Affected by this issue is the function org.HdrHistogram.AbstractHistogram.decodeFromCompressedByteBuffer of the file src/main/java/org/HdrHistogram/AbstractHistogram.java. The manipulation of the argument lengthOfCompressedContents results in uncontrolled memory allocation. The attack needs to be approached locally. The exploit is now public and may be used. It is still unclear if this vulnerability genuinely exists. This issue is disputed due to the potential lack of crossing of security boundaries and the pre-requisites for a successful attack.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS