CVE-2026-64609
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W bibliotece Apache Fory (dawniej Apache Fury) wykryto podatność polegającą na odczycie poza dozwolonym zakresem pamięci przez sun.misc.Unsafe. Problem występuje podczas deserializacji zero-copy poza pasmem, gdy funkcja readAlignedVarUint() może odczytać dane poza granicami bufora. Funkcjonalność ta jest opcjonalna, więc aplikacje jej nieużywające nie są zagrożone.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do odczytu wrażliwych danych z pamięci lub wywołania nieoczekiwanego zachowania aplikacji, co może prowadzić do wycieku informacji lub naruszenia integralności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Apache Fory do wersji 1.4.0, która zawiera poprawkę. Jeśli aktualizacja nie jest możliwa, należy wyłączyć funkcję deserializacji zero-copy poza pasmem.
Inne podatności w Apache Fory
Zobacz wszystkie- CVE-2026-71558Krytyczne
Podatność typu heap type confusion w Apache Fory C++ podczas deserializacji. Specjalnie spreparowane dane wejściowe mogą ominąć sprawdzanie zgodności typów podczas deserializacji polimorficznych inteligentnych wskaźników, co prowadzi do traktowania obiektu niezgodnego typu jako zadeklarowanego typu bazowego. Może to skutkować niezdefiniowanym zachowaniem, a potencjalnie odmową usługi lub wykonaniem dowolnego kodu.
- CVE-2026-64606Krytyczne
Podatność na deserializację niezaufanych danych w Apache Fory umożliwia ominięcie kontroli rejestracji klas podczas deserializacji lambd Javy. Problem dotyczy wyłącznie klasy przechwytującej lambdę.
- CVE-2026-64608Krytyczne
W implementacji C++ biblioteki Apache Fory wykryto podatność polegającą na pomyleniu typów sterty oraz odczycie/zapisie poza dozwolonym zakresem. Podczas deserializacji danych w trybie zgodności, ścieżki pomijające pola nieprawidłowo walidują zadeklarowane typy pól względem rzeczywistych danych, co przy niespójnym schemacie wejściowym może prowadzić do pomylenia typów i dostępu do pamięci poza granicami.
- CVE-2026-48207Krytyczne
Apache Fory PyFory przed wersją 1.0.0 zawiera podatność na deserializację niezaufanych danych w ReduceSerializer. Może ona ominąć mechanizmy walidacji DeserializationPolicy podczas przywracania stanu redukcji i rozwiązywania nazw globalnych. Aplikacja jest podatna, jeśli deserializuje dane kontrolowane przez atakującego w trybie Python-native z wyłączonym trybem strict i polega na DeserializationPolicy.
- CVE-2026-71559Wysokie
Podatność na deserializację niezaufanych danych w implementacji Go w Apache Fory pozwala atakującemu spowodować odmowę usługi poprzez dostarczenie spreparowanych danych zawierających nieprawidłowe metadane typów, co wywołuje nieprzechwycony wyjątek panic. Problem dotyczy Apache Fory od wersji 0.16.0 przed 1.5.0. Użytkownicy innych implementacji językowych nie są dotknięci.
- CVE-2026-60080Wysokie
Podatność Use-After-Free w logice deserializacji Rusta w Apache Fory w wersjach od 0.13.0 do 1.3.0. Specjalnie spreparowany ładunek Fory może spowodować niezdefiniowane zachowanie, awarię procesu lub potencjalny wyciek pamięci.
Oryginalny opis (angielski, źródło NVD)
Out-of-bounds read via sun.misc.Unsafe in Apache Fory. When out-of-band zero-copy deserialization is used, readAlignedVarUint() can read beyond the bounds of the underlying buffer. Out-of-band zero-copy deserialization is an opt-in feature; applications that do not use it are not affected. This issue affects Apache Fory (formerly Apache Fury): from 0.5.0 before 1.4.0. Versions before 0.11.0 were published under the Maven coordinates org.apache.fury:fury-core. Users are recommended to upgrade to version 1.4.0, which fixes the issue.