CVE-2026-14683
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W bibliotece HdrHistogram do wersji 2.2.2 wykryto podatność polegającą na niekontrolowanej alokacji pamięci w funkcji decodeFromCompressedByteBuffer. Atak wymaga lokalnego dostępu i manipulacji argumentem lengthOfCompressedContents. Istnienie podatności jest kwestionowane ze względu na wątpliwości co do przekroczenia granic bezpieczeństwa.
Ocena ryzyka
Ryzyko dla organizacji polega na potencjalnym wyczerpaniu pamięci przez lokalnego atakującego, co może prowadzić do odmowy usługi (DoS) w aplikacjach korzystających z HdrHistogram. Jednak ze względu na spór co do realności zagrożenia, ryzyko jest niskie.
Rekomendacja
Zaleca się aktualizację biblioteki HdrHistogram do najnowszej wersji, jeśli dostępna, oraz monitorowanie publicznych informacji o podatności. W przypadku braku aktualizacji, ograniczenie lokalnego dostępu do systemu może zmniejszyć ryzyko.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in HdrHistogram up to 2.2.2. Affected by this issue is the function org.HdrHistogram.AbstractHistogram.decodeFromCompressedByteBuffer of the file src/main/java/org/HdrHistogram/AbstractHistogram.java. The manipulation of the argument lengthOfCompressedContents results in uncontrolled memory allocation. The attack needs to be approached locally. The exploit is now public and may be used. It is still unclear if this vulnerability genuinely exists. This issue is disputed due to the potential lack of crossing of security boundaries and the pre-requisites for a successful attack.