CVE-2026-75936
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Amazon ion-java przed wersją 1.12.0 nieprawidłowo obsługuje wysoko skompresowane dane w handlerze GZIP, co może pozwolić zdalnym atakującym na wywołanie odmowy usługi poprzez spreparowany dokument Ion, który po dekompresji rozszerza się do bardzo dużego rozmiaru.
Ocena ryzyka
Ryzyko obejmuje przeciążenie zasobów systemowych i niedostępność usług, co może wpłynąć na ciągłość działania aplikacji korzystających z ion-java.
Rekomendacja
Zaleca się aktualizację do wersji 1.12.0 oraz skonfigurowanie withGzipDecompressionEnabled(false) i/lub ustawienie jawnego withMaximumBufferSize() podczas parsowania niezaufanych danych.
Inne podatności w Amazon ion-java
Zobacz wszystkie- CVE-2026-85786Wysokie
Amazon ion-java przed wersją 1.12.1 nieprawidłowo obsługuje wysoko skompresowane dane, co może pozwolić zdalnemu atakującemu na wywołanie odmowy usługi (DoS) poprzez spreparowany skompresowany dokument Ion, który po dekompresji rozszerza się do bardzo dużych rozmiarów. Problem wynika z niewystarczającego pokrycia mechanizmu rezygnacji z automatycznej dekompresji GZIP wprowadzonego dla CVE-2026-75936.
- CVE-2026-75935Wysokie
Amazon ion-java przed wersją 1.12.0 zawiera niekontrolowaną alokację pamięci w binarnym kursorze strumienia Ion, co może pozwolić zdalnym atakującym na wywołanie odmowy usługi poprzez spreparowany dokument binarny Ion z polem deklarowanej długości, które powoduje nadmierną prealokację sterty.
Oryginalny opis (angielski, źródło NVD)
Improper handling of highly compressed data in the GZIP auto-decompression handler in Amazon ion-java before 1.12.0 might allow remote actors to cause a denial of service via a crafted compressed Ion document that expands to an arbitrarily large size upon decompression. To remediate this issue, users should upgrade to version 1.12.0 and configure withGzipDecompressionEnabled(false) and/or set an explicit withMaximumBufferSize() when parsing untrusted input.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS