CVE-2026-71559
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
Podatność na deserializację niezaufanych danych w implementacji Go w Apache Fory pozwala atakującemu spowodować odmowę usługi poprzez dostarczenie spreparowanych danych zawierających nieprawidłowe metadane typów, co wywołuje nieprzechwycony wyjątek panic. Problem dotyczy Apache Fory od wersji 0.16.0 przed 1.5.0. Użytkownicy innych implementacji językowych nie są dotknięci.
Ocena ryzyka
Atakujący może spowodować awarię aplikacji, co prowadzi do niedostępności usług. Może to być wykorzystane do ataków DoS w środowiskach produkcyjnych.
Rekomendacja
Zaktualizuj Apache Fory do wersji 1.5.0 lub nowszej. Upewnij się, że dane wejściowe są walidowane przed deserializacją.
Inne podatności w Apache Fory
Zobacz wszystkie- CVE-2026-71558Krytyczne
Podatność typu heap type confusion w Apache Fory C++ podczas deserializacji. Specjalnie spreparowane dane wejściowe mogą ominąć sprawdzanie zgodności typów podczas deserializacji polimorficznych inteligentnych wskaźników, co prowadzi do traktowania obiektu niezgodnego typu jako zadeklarowanego typu bazowego. Może to skutkować niezdefiniowanym zachowaniem, a potencjalnie odmową usługi lub wykonaniem dowolnego kodu.
- CVE-2026-64606Krytyczne
Podatność na deserializację niezaufanych danych w Apache Fory umożliwia ominięcie kontroli rejestracji klas podczas deserializacji lambd Javy. Problem dotyczy wyłącznie klasy przechwytującej lambdę.
- CVE-2026-64609Krytyczne
W bibliotece Apache Fory (dawniej Apache Fury) wykryto podatność polegającą na odczycie poza dozwolonym zakresem pamięci przez sun.misc.Unsafe. Problem występuje podczas deserializacji zero-copy poza pasmem, gdy funkcja readAlignedVarUint() może odczytać dane poza granicami bufora. Funkcjonalność ta jest opcjonalna, więc aplikacje jej nieużywające nie są zagrożone.
- CVE-2026-64608Krytyczne
W implementacji C++ biblioteki Apache Fory wykryto podatność polegającą na pomyleniu typów sterty oraz odczycie/zapisie poza dozwolonym zakresem. Podczas deserializacji danych w trybie zgodności, ścieżki pomijające pola nieprawidłowo walidują zadeklarowane typy pól względem rzeczywistych danych, co przy niespójnym schemacie wejściowym może prowadzić do pomylenia typów i dostępu do pamięci poza granicami.
- CVE-2026-48207Krytyczne
Apache Fory PyFory przed wersją 1.0.0 zawiera podatność na deserializację niezaufanych danych w ReduceSerializer. Może ona ominąć mechanizmy walidacji DeserializationPolicy podczas przywracania stanu redukcji i rozwiązywania nazw globalnych. Aplikacja jest podatna, jeśli deserializuje dane kontrolowane przez atakującego w trybie Python-native z wyłączonym trybem strict i polega na DeserializationPolicy.
- CVE-2026-60080Wysokie
Podatność Use-After-Free w logice deserializacji Rusta w Apache Fory w wersjach od 0.13.0 do 1.3.0. Specjalnie spreparowany ładunek Fory może spowodować niezdefiniowane zachowanie, awarię procesu lub potencjalny wyciek pamięci.
Oryginalny opis (angielski, źródło NVD)
Deserialization of Untrusted Data vulnerability in the Go implementation of Apache Fory allows an attacker to cause a denial of service by supplying crafted data containing malformed type metadata, which triggers an uncaught panic. This issue affects Apache Fory: from 0.16.0 before 1.5.0. Users of other language implementations are not affected. Users are recommended to upgrade to version 1.5.0, which fixes the issue.