CVE-2026-64609
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W bibliotece Apache Fory (dawniej Apache Fury) wykryto podatność polegającą na odczycie poza dozwolonym zakresem pamięci przez sun.misc.Unsafe. Problem występuje podczas deserializacji zero-copy poza pasmem, gdy funkcja readAlignedVarUint() może odczytać dane poza granicami bufora. Funkcjonalność ta jest opcjonalna, więc aplikacje jej nieużywające nie są zagrożone.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do odczytu wrażliwych danych z pamięci lub wywołania nieoczekiwanego zachowania aplikacji, co może prowadzić do wycieku informacji lub naruszenia integralności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Apache Fory do wersji 1.4.0, która zawiera poprawkę. Jeśli aktualizacja nie jest możliwa, należy wyłączyć funkcję deserializacji zero-copy poza pasmem.
Oryginalny opis (angielski, źródło NVD)
Out-of-bounds read via sun.misc.Unsafe in Apache Fory. When out-of-band zero-copy deserialization is used, readAlignedVarUint() can read beyond the bounds of the underlying buffer. Out-of-band zero-copy deserialization is an opt-in feature; applications that do not use it are not affected. This issue affects Apache Fory (formerly Apache Fury): from 0.5.0 before 1.4.0. Versions before 0.11.0 were published under the Maven coordinates org.apache.fury:fury-core. Users are recommended to upgrade to version 1.4.0, which fixes the issue.