CVE-2026-14684
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W bibliotece HdrHistogram do wersji 2.2.2 wykryto podatność polegającą na niekontrolowanym przydzielaniu pamięci podczas przetwarzania argumentu numberOfSignificantValueDigits w funkcji decodeFromByteBuffer. Atak wymaga lokalnego dostępu i został opublikowany, jednak jego rzeczywiste istnienie jest kwestionowane ze względu na wątpliwości co do przekraczania granic bezpieczeństwa.
Ocena ryzyka
Ryzyko dla organizacji jest ograniczone, ponieważ atak wymaga lokalnego dostępu, a podatność jest sporna. W przypadku potwierdzenia może prowadzić do wyczerpania pamięci i potencjalnej odmowy usługi w aplikacjach korzystających z tej biblioteki.
Rekomendacja
Zaleca się aktualizację biblioteki HdrHistogram do najnowszej dostępnej wersji oraz monitorowanie oficjalnych komunikatów w celu potwierdzenia podatności. W międzyczasie ogranicz dostęp lokalny do systemów wykorzystujących tę bibliotekę.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in HdrHistogram up to 2.2.2. This affects the function org.HdrHistogram.AbstractHistogram.decodeFromByteBuffer of the file src/main/java/org/HdrHistogram/AbstractHistogram.java. This manipulation of the argument numberOfSignificantValueDigits causes uncontrolled memory allocation. The attack can only be executed locally. The exploit has been published and may be used. The actual existence of this vulnerability is currently in question. This issue is disputed due to the potential lack of crossing of security boundaries and the pre-requisites for a successful attack.