CVE-2026-56740

WysokieCVSS 7.5

Opublikowano: 17/07/2026(UTC)Zaktualizowano: 18/08/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.50%

Percentyl 41 - wyżej niż 41% wszystkich znanych CVE

Streszczenie

JLine to biblioteka Java do obsługi konsoli. Przed wersjami 3.30.14, 4.0.16 i 4.2.1 moduł Telnet nie ogranicza liczby zmiennych środowiskowych, które klient może wstrzyknąć. Nieuwierzytelniony atakujący może wysłać wiele unikalnych par zmiennych, powodując wyczerpanie pamięci sterty JVM i błąd OutOfMemoryError.

Ocena ryzyka

Atakujący może spowodować odmowę usługi (DoS) poprzez wyczerpanie pamięci, co uniemożliwia działanie aplikacji korzystającej z serwera Telnet JLine.

Rekomendacja

Należy zaktualizować JLine do wersji 3.30.14, 4.0.16 lub 4.2.1 (w zależności od używanej gałęzi), które zawierają poprawkę ograniczającą liczbę zmiennych środowiskowych.

Inne podatności w JLine

CVE-2026-56741Wysokie
JLine, biblioteka Java do obsługi konsoli, zawiera podatność w module Telnet server remote-telnet. Funkcja TelnetIO.handleNAWS() nie ogranicza wymiarów terminala otrzymywanych od klienta, co pozwala nieuwierzytelnionemu atakującemu na wielokrotne ustawianie dużych wartości (np. 65535x65535), powodując intensywne obliczenia renderowania i wyczerpanie CPU (DoS).

Oryginalny opis (angielski, źródło NVD)

JLine is a Java library for handling console input. Prior to 3.30.14, 4.0.16, and 4.2.1, the JLine3 Telnet server remote-telnet module does not limit the number of environment variables a client may inject via the Telnet NEW-ENVIRON option, and TelnetIO.readNEVariables() in TelnetIO.java:1127-1180 stores each variable pair in a HashMap held by ConnectionData, allowing an unauthenticated attacker to flood unique variable pairs before the terminating IAC SE byte and exhaust JVM heap memory with an OutOfMemoryError. This issue is fixed in versions 3.30.14, 4.0.16, and 4.2.1.