CVE-2026-85786
WysokieCVSS 7.5Streszczenie
Amazon ion-java przed wersją 1.12.1 nieprawidłowo obsługuje wysoko skompresowane dane, co może pozwolić zdalnemu atakującemu na wywołanie odmowy usługi (DoS) poprzez spreparowany skompresowany dokument Ion, który po dekompresji rozszerza się do bardzo dużych rozmiarów. Problem wynika z niewystarczającego pokrycia mechanizmu rezygnacji z automatycznej dekompresji GZIP wprowadzonego dla CVE-2026-75936.
Ocena ryzyka
Atakujący może spowodować nadmierne zużycie zasobów systemowych (pamięci, CPU) poprzez wysłanie specjalnie spreparowanego dokumentu, co prowadzi do niedostępności usługi.
Rekomendacja
Należy zaktualizować bibliotekę ion-java do wersji 1.12.1 lub nowszej, która zawiera poprawkę.
Inne podatności w Amazon ion-java
Zobacz wszystkie- CVE-2026-75936Wysokie
Amazon ion-java przed wersją 1.12.0 nieprawidłowo obsługuje wysoko skompresowane dane w handlerze GZIP, co może pozwolić zdalnym atakującym na wywołanie odmowy usługi poprzez spreparowany dokument Ion, który po dekompresji rozszerza się do bardzo dużego rozmiaru.
- CVE-2026-75935Wysokie
Amazon ion-java przed wersją 1.12.0 zawiera niekontrolowaną alokację pamięci w binarnym kursorze strumienia Ion, co może pozwolić zdalnym atakującym na wywołanie odmowy usługi poprzez spreparowany dokument binarny Ion z polem deklarowanej długości, które powoduje nadmierną prealokację sterty.
Oryginalny opis (angielski, źródło NVD)
Improper handling of highly compressed data in Amazon ion-java before 1.12.1 might allow remote attackers to cause a denial of service via a crafted compressed Ion document that expands to an arbitrarily large size upon decompression due to insufficient coverage of the GZIP auto-decompression opt-out introduced for CVE-2026-75936. To remediate this issue, users should upgrade to version 1.12.1.