Google Guava: Denial of Service durch eager Array-Allokation bei der Deserialisierung
Zusammenfassung
Google Guava reserviert beim Deserialisieren von CompactHashMap-, CompactHashSet- und MapMakerInternalMap-Objekten Speicher anhand eines Grössenwerts aus den Daten, ohne Begrenzung. Ein Angreifer, der einer Anwendung präparierte Java-Serialisierungsdaten übergeben kann, kann den Arbeitsspeicher erschöpfen und einen OutOfMemoryError auslösen, was zu einem Denial of Service führt. Vertraulichkeit und Integrität sind nicht betroffen. Die Schwachstelle ist nur erreichbar, wenn die Anwendung unvertrauenswürdige Daten deserialisiert.
Betroffen
- Google Guava 4.0 bis 33.7.1 (gemäss CVE-Beschreibung; das GHSA nennt alle -jre- und -android-Editionen als betroffen)
Behoben in
- Google Guava 33.7.2 (-jre und -android)
- Distributionen: SUSE SUSE-SU-2026:24263-1 enthält die Korrektur; einige SUSE-Produkte wurden zum Zeitpunkt der Momentaufnahme noch als betroffen oder in Bearbeitung geführt
- HeroDevs NES für Google Guava v31.0.3 (kostenpflichtige erweiterte Unterstützung für die Legacy-Linie)
- Debian-Status der Korrektur: Unbekannt.
Umgehung
- Ausser dem Upgrade unbekannt.
- Falls ein Upgrade blockiert ist, keine unvertrauenswürdigen Java-serialisierten Daten mehr deserialisieren oder einen Allowlist-Deserialisierungsfilter einsetzen.
Ausnutzung
- CISA SSVC: Ausnutzungsstatus PoC, nicht automatisierbar.
- Feedly: öffentlicher Proof of Concept; keine bestätigte Ausnutzung in freier Wildbahn.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Berichte über Metasploit-Module und nuclei-Templates sind nicht verifiziert.
Unsere Empfehlung
- Alle Guava-Kopien inklusive transitiver Abhängigkeiten, Fat JARs und Herstelleranwendungen mit einer SBOM oder einem Scanner erfassen.
- Auf Guava 33.7.2 oder einen Herstellerbuild mit der Korrektur aktualisieren; zuerst internetexponierte oder partnerseitige Java-Dienste priorisieren, die Daten deserialisieren.
- Falls die Behebung verzögert wird, unvertrauenswürdige Java-Serialisierungseingaben blockieren oder einschränken.
- Updates von Herstellern und Frameworks prüfen, da diese oft verzögert erscheinen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub commit b931fe9 (fix) github.com
- Guava release 33.7.2 github.com
- GitHub Security Advisory GHSA-xxph-c9ww-hj94 github.com
- SUSE CVE tracker www.suse.com
- SUSE advisory SUSE-SU-2026:24263-1 linuxsecurity.com
- Tenable CVE record www.tenable.com
- HeroDevs NES vulnerability directory www.herodevs.com
- OpenCVE record app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.