CVE-2026-89045

Wykryto podatność w luben zstd-jni do wersji 1.5.7-13. Dotyczy funkcji ZstdCompressCtx.loadDict w pliku ZstdCompressCtx.java w komponencie współdzielenia słowników. Manipulacja prowadzi do użycia po zwolnieniu (use after free). Atak może być wykonany zdalnie. Poprawka dostępna w wersji 1.5.7-14.

zstd-jni w wersjach od 1.2.0 do 1.5.7-13 zawiera podatność odczytu poza granicami w konstruktorze ZstdDictDecompress, ponieważ argumenty offset i length nie są walidowane względem granic tablicy słownika. Atakujący może podać dowolne wartości offset lub length, aby odczytać pamięć poza końcem dostarczonej tablicy, co potencjalnie powoduje zakończenie pracy JVM.

Biblioteka zstd-jni w wersjach 1.5.5-6 do 1.5.7-13 zawiera lukę odczytu poza zakresem pamięci w metodzie Zstd.getFrameContentSize, która nie waliduje ujemnych wartości srcPosition. Atakujący może podać ujemne przesunięcia omijające sprawdzenia granic i dotrzeć do natywnego parsera nagłówka ramki.

zstd-jni przed wersją 1.5.7-14 nie sprawdza stanu zamknięcia w metodach setDict, setLongMax, setLevel i setRefMultipleDDicts klas strumieni. Atakujący mogą wywołać te metody na zamkniętych strumieniach, aby zapisywać przez zwolnione wskaźniki natywne, uszkadzając niezwiązane obiekty lub powodując awarię JVM.

zstd-jni przed wersją 1.5.7-14 zawiera podatność use-after-free, gdzie strumienie i konteksty trzymają współdzielony zamek słownika tylko podczas wywołania ładowania, co pozwala na zamknięcie słownika, gdy jest nadal używany. Atakujący mogą zamknąć słownik po powiązaniu go ze strumieniem lub kontekstem, powodując, że kolejne operacje odczytu lub zapisu uzyskują dostęp do zwolnionej pamięci natywnej, co prowadzi do cichego uszkodzenia danych lub awarii JVM.

zstd-jni przed wersją 1.5.7-14 nie sprawdza pojemności bufora próbek w metodzie Zstd.trainFromBufferDirect, co pozwala atakującym na odczyt poza granicami bufora poprzez podanie zbyt dużych długości poszczególnych próbek. Atakujący mogą wywołać dostęp do pamięci poza zakresem, dostarczając spreparowane tablice długości próbek, które powodują, że natywna implementacja wychodzi poza alokację bufora, co prowadzi do zakończenia działania JVM.

zstd-jni przed wersją 1.5.7-14 wykonuje 32-bitowe sprawdzenia granic ze znakiem na trzech natywnych metodach dotyczących rozmiaru ramki dla bezpośrednich buforów ByteBuffer, co pozwala na odczyt pamięci poza zakresem poprzez ujemne lub przepełnione offsety. Atakujący mogą podać ujemne wartości offsetów bliskie Integer.MIN_VALUE, aby odczytać nieodwzorowaną pamięć, powodując zakończenie działania JVM lub wyodrębniając dane o rozmiarze ramki z nieprzewidzianych lokalizacji pamięci.

Wersje zstd-jni przed 1.5.7-14 nie walidują parametrów offset i length w konstruktorze ZstdDictCompress, co umożliwia odczyty pamięci poza zakresem. Atakujący może dostarczyć niezaufane wartości offset lub length, aby odczytać natywną pamięć sterty do słownika kompresji, co zwykle powoduje awarie JVM.