CVE-2026-48207

Podatność typu heap type confusion w Apache Fory C++ podczas deserializacji. Specjalnie spreparowane dane wejściowe mogą ominąć sprawdzanie zgodności typów podczas deserializacji polimorficznych inteligentnych wskaźników, co prowadzi do traktowania obiektu niezgodnego typu jako zadeklarowanego typu bazowego. Może to skutkować niezdefiniowanym zachowaniem, a potencjalnie odmową usługi lub wykonaniem dowolnego kodu.

Podatność na deserializację niezaufanych danych w Apache Fory umożliwia ominięcie kontroli rejestracji klas podczas deserializacji lambd Javy. Problem dotyczy wyłącznie klasy przechwytującej lambdę.

W bibliotece Apache Fory (dawniej Apache Fury) wykryto podatność polegającą na odczycie poza dozwolonym zakresem pamięci przez sun.misc.Unsafe. Problem występuje podczas deserializacji zero-copy poza pasmem, gdy funkcja readAlignedVarUint() może odczytać dane poza granicami bufora. Funkcjonalność ta jest opcjonalna, więc aplikacje jej nieużywające nie są zagrożone.

W implementacji C++ biblioteki Apache Fory wykryto podatność polegającą na pomyleniu typów sterty oraz odczycie/zapisie poza dozwolonym zakresem. Podczas deserializacji danych w trybie zgodności, ścieżki pomijające pola nieprawidłowo walidują zadeklarowane typy pól względem rzeczywistych danych, co przy niespójnym schemacie wejściowym może prowadzić do pomylenia typów i dostępu do pamięci poza granicami.

Podatność na deserializację niezaufanych danych w implementacji Go w Apache Fory pozwala atakującemu spowodować odmowę usługi poprzez dostarczenie spreparowanych danych zawierających nieprawidłowe metadane typów, co wywołuje nieprzechwycony wyjątek panic. Problem dotyczy Apache Fory od wersji 0.16.0 przed 1.5.0. Użytkownicy innych implementacji językowych nie są dotknięci.

Podatność Use-After-Free w logice deserializacji Rusta w Apache Fory w wersjach od 0.13.0 do 1.3.0. Specjalnie spreparowany ładunek Fory może spowodować niezdefiniowane zachowanie, awarię procesu lub potencjalny wyciek pamięci.