CVE-2026-87962

WysokieCVSS 7.5

Opublikowano: 10/09/2026(UTC)Zaktualizowano: 10/09/2026(UTC)Przetłumaczono: 10/09/2026(UTC)NVD NIST

Streszczenie

Biblioteka t-digest w wersjach od 3.1 do 3.3 zawiera podatność typu denial of service w metodzie MergingDigest.fromBytes, która nie waliduje pól length i capacity z danych serializowanych. Atakujący może dostarczyć spreparowane zserializowane digesty z niespójnymi polami nagłówka, co wywołuje ArrayIndexOutOfBoundsException lub NegativeArraySizeException i przerywa wątek parsujący.

Ocena ryzyka

Atakujący może zdalnie wywołać wyjątek i przerwać przetwarzanie, powodując odmowę usługi w aplikacji korzystającej z t-digest. Może to zakłócić działanie systemów analitycznych lub monitorujących.

Rekomendacja

Zaktualizuj bibliotekę t-digest do wersji zawierającej poprawkę walidacji pól length i capacity. Do czasu aktualizacji rozważ walidację lub ograniczenie przyjmowania niezaufanych danych serializowanych.

Inne podatności w t-digest

CVE-2026-87822Wysokie
t-digest w wersjach od 3.1 do 3.3 nie sprawdza średnich centroidów podczas deserializacji w MergingDigest.fromBytes, co pozwala atakującym na wstrzyknięcie wartości NaN, które omijają walidację. Atakujący mogą stworzyć złośliwe zserializowane digesty zawierające centroidy NaN, które pogarszają wydajność sortowania z O(n log n) do O(n^2), powodując poważne opóźnienia podczas operacji scalania.

Oryginalny opis (angielski, źródło NVD)

t-digest versions 3.1 through 3.3 contain a denial of service vulnerability in MergingDigest.fromBytes that fails to validate length and capacity fields from serialized data. Attackers can supply crafted serialized digests with mismatched header fields to trigger ArrayIndexOutOfBoundsException or NegativeArraySizeException, aborting the parsing thread.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS