Ning compress-lzf: Speicherzugriff ausserhalb der Grenzen in UnsafeChunkDecoder
Zusammenfassung
Die Java-Bibliothek compress-lzf vor Version 1.2.0 enthält einen Speicherzugriff ausserhalb der Grenzen im auf sun.misc.Unsafe basierenden UnsafeChunkDecoder, der Back-References und Literal-Runs nicht validiert. Ein Angreifer, der Anwendungen mit dem Standard-LZFDecoder manipulierte LZF-Daten liefern kann, kann unbeteiligten JVM-Heap-Speicher in die dekomprimierte Ausgabe leaken oder die JVM zum Absturz bringen. Es sind keine Berechtigungen und keine Benutzerinteraktion nötig, die Gefährdung hängt aber davon ab, ob die Anwendung nicht vertrauenswürdige Eingaben dekomprimiert.
Betroffen
- ning compress-lzf, Versionen 0 bis vor 1.2.0
- Standardkonfiguration (der Standard-LZFDecoder verwendet den betroffenen Decoder)
Behoben in
- Auf compress-lzf 1.2.0 oder neuer aktualisieren
Umgehung
Unbekannt.
- Bis zur Aktualisierung nur LZF-Daten aus vertrauenswürdigen Quellen dekomprimieren.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- In den geprüften Quellen nicht als bekannt ausgenutzt gelistet.
- Bei Recherchen wurde kein öffentlicher Proof of Concept gefunden; dies ist keine vollständige Suche.
Unsere Empfehlung
- SBOMs und Maven-/Gradle-Abhängigkeitsdateien auf compress-lzf prüfen, einschliesslich transitiver Abhängigkeiten.
- Auf Version 1.2.0 oder neuer aktualisieren und die Anwendung vorgängig testen, da es sich um eine Bibliotheksänderung handelt.
- Anwendungen priorisieren, die LZF-Daten von externen Parteien dekomprimieren, etwa Uploads, API-Payloads oder Message Queues.
- NVD und das GitHub-Advisory auf die finale Analyse hin überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- Fix commit 06bdc37 github.com
- Pull request #68 github.com
- Vulnerable code UnsafeChunkDecoder.java github.com
- GitHub Security Lab discussion 970 github.com
- ning/compress project README github.com
- VulDB entry vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:41.
Referenzen der NVD (6)
- https://github.com/github/securitylab/discussions/970
- https://github.com/ning/compress
- https://github.com/ning/compress/blob/compress-lzf-1.1.3/src/main/java/com/ning/compress/lzf/impl/UnsafeChunk…
- https://github.com/ning/compress/commit/06bdc3744a96b736a7118891f403e44c664f108b
- https://github.com/ning/compress/pull/68
- https://www.vulncheck.com/advisories/ning-compress-lzf-before-1.2.0-out-of-bounds-memory-access-via-unsafechu…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.