CVE-2026-63209

WysokieCVSS 7.5

Opublikowano: 29/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 29/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

Biblioteka compress przed wersją 1.18.7 zawiera podatność na przepełnienie liczby całkowitej ze znakiem w funkcji s2.NewDict(), która pozwala obejść walidację indeksu powtórzeń poprzez dostarczenie słownika z wartością powtórzenia zakodowaną jako uvarint przekraczającą MaxInt64. Przy późniejszym wywołaniu Dict.Encode() przepełniona ujemna wartość powtórzenia powoduje dostęp do pamięci poza granicami bufora poprzez arytmetykę unsafe.Pointer, co kończy się awarią procesu z sygnałem SIGSEGV. Podatność została naprawiona w wersji 1.18.7.

Ocena ryzyka

Atakujący może dostarczyć spreparowany słownik, powodując awarię procesu (SIGSEGV), co prowadzi do odmowy usługi. W niektórych przypadkach możliwe jest także uszkodzenie pamięci.

Rekomendacja

Zaktualizuj bibliotekę compress do wersji 1.18.7 lub nowszej.

Inne podatności w compress

CVE-2026-116591Wysokie
Biblioteka compress przed wersją 1.20.2 zawiera błąd w ścieżkach dekodera zstd DecodeAll i dekodera strumieniowego, który może powodować panikę, gdy spreparowana dwublokowa ramka trafi do huff0.ReadTable z znormalizowaną wartością FSE 32768 zapisywaną w int16 jako -32768. Zawinięta wartość pozwala funkcji buildDtable zachować nieaktualny stan tabeli dekodowania z poprzedniego bloku, a nextFast wylicza stan poza zakresem i indeksuje poza tabelą zamiast zwrócić błąd dekodowania.

Oryginalny opis (angielski, źródło NVD)

compress provides various compression algorithms. Prior to version 1.18.7, a signed integer overflow vulnerability in s2.NewDict() allows an attacker to bypass repeat index validation by supplying a dictionary with a uvarint-encoded repeat value exceeding MaxInt64. When Dict.Encode() is subsequently called, the overflowed negative repeat value causes an out-of-bounds memory access via unsafe.Pointer arithmetic, crashing the process with SIGSEGV. This issue has been patched in version 1.18.7.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS