CVE-2019-17543

WysokieCVSS 8.1

Opublikowano: 14/10/2019(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Bardzo wysokie ryzyko

9.12%

Percentyl 95 - wyżej niż 95% wszystkich znanych CVE

Streszczenie

LZ4 przed wersją 1.9.2 ma przepełnienie bufora na stercie w funkcji LZ4_write32 (związane z LZ4_compress_destSize), dotykające aplikacji, które wywołują LZ4_compress_fast z dużym wejściem. Problem może również prowadzić do uszkodzenia danych. Producent stwierdza, że zagrożone są tylko niektóre / rzadkie przypadki użycia API.

Ocena ryzyka

Możliwość zdalnego wykonania kodu lub uszkodzenia danych w aplikacjach korzystających z LZ4 w specyficzny sposób.

Rekomendacja

Zaktualizuj bibliotekę LZ4 do wersji 1.9.2 lub nowszej oraz przeanalizuj przypadki użycia API pod kątem ryzyka.

Inne podatności w LZ4

CVE-2021-3520Krytyczne
W bibliotece lz4 istnieje usterka. Atakujący, który dostarczy spreparowany plik do aplikacji korzystającej z lz4, może wywołać przepełnienie liczby całkowitej, prowadzące do wywołania memmove() z ujemnym argumentem rozmiaru, co powoduje zapis poza zakresem i/lub awarię. Największy wpływ tej usterki dotyczy dostępności, z pewnym potencjalnym wpływem na poufność i integralność.

Oryginalny opis (angielski, źródło NVD)

LZ4 before 1.9.2 has a heap-based buffer overflow in LZ4_write32 (related to LZ4_compress_destSize), affecting applications that call LZ4_compress_fast with a large input. (This issue can also lead to data corruption.) NOTE: the vendor states "only a few specific / uncommon usages of the API are at risk."

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS