CVE-2026-60080
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Podatność Use-After-Free w logice deserializacji Rusta w Apache Fory w wersjach od 0.13.0 do 1.3.0. Specjalnie spreparowany ładunek Fory może spowodować niezdefiniowane zachowanie, awarię procesu lub potencjalny wyciek pamięci.
Ocena ryzyka
Ryzyko zdalnego wykonania kodu lub wycieku poufnych danych z pamięci procesu.
Rekomendacja
Zaktualizować Apache Fory do wersji 1.4.0 lub nowszej.
Inne podatności w Apache Fory
Zobacz wszystkie- CVE-2026-71558Krytyczne
Podatność typu heap type confusion w Apache Fory C++ podczas deserializacji. Specjalnie spreparowane dane wejściowe mogą ominąć sprawdzanie zgodności typów podczas deserializacji polimorficznych inteligentnych wskaźników, co prowadzi do traktowania obiektu niezgodnego typu jako zadeklarowanego typu bazowego. Może to skutkować niezdefiniowanym zachowaniem, a potencjalnie odmową usługi lub wykonaniem dowolnego kodu.
- CVE-2026-64606Krytyczne
Podatność na deserializację niezaufanych danych w Apache Fory umożliwia ominięcie kontroli rejestracji klas podczas deserializacji lambd Javy. Problem dotyczy wyłącznie klasy przechwytującej lambdę.
- CVE-2026-64609Krytyczne
W bibliotece Apache Fory (dawniej Apache Fury) wykryto podatność polegającą na odczycie poza dozwolonym zakresem pamięci przez sun.misc.Unsafe. Problem występuje podczas deserializacji zero-copy poza pasmem, gdy funkcja readAlignedVarUint() może odczytać dane poza granicami bufora. Funkcjonalność ta jest opcjonalna, więc aplikacje jej nieużywające nie są zagrożone.
- CVE-2026-64608Krytyczne
W implementacji C++ biblioteki Apache Fory wykryto podatność polegającą na pomyleniu typów sterty oraz odczycie/zapisie poza dozwolonym zakresem. Podczas deserializacji danych w trybie zgodności, ścieżki pomijające pola nieprawidłowo walidują zadeklarowane typy pól względem rzeczywistych danych, co przy niespójnym schemacie wejściowym może prowadzić do pomylenia typów i dostępu do pamięci poza granicami.
- CVE-2026-48207Krytyczne
Apache Fory PyFory przed wersją 1.0.0 zawiera podatność na deserializację niezaufanych danych w ReduceSerializer. Może ona ominąć mechanizmy walidacji DeserializationPolicy podczas przywracania stanu redukcji i rozwiązywania nazw globalnych. Aplikacja jest podatna, jeśli deserializuje dane kontrolowane przez atakującego w trybie Python-native z wyłączonym trybem strict i polega na DeserializationPolicy.
- CVE-2026-71559Wysokie
Podatność na deserializację niezaufanych danych w implementacji Go w Apache Fory pozwala atakującemu spowodować odmowę usługi poprzez dostarczenie spreparowanych danych zawierających nieprawidłowe metadane typów, co wywołuje nieprzechwycony wyjątek panic. Problem dotyczy Apache Fory od wersji 0.16.0 przed 1.5.0. Użytkownicy innych implementacji językowych nie są dotknięci.
Oryginalny opis (angielski, źródło NVD)
Use After Free vulnerability in the Rust deserialization logic of Apache Fory. This issue affects Apache Fory from 0.13.0 through 1.3.0. A crafted Fory payload could cause undefined behavior, process crash, or potential memory disclosure. Users are recommended to upgrade to version 1.4.0, which fixes the issue.